Yaygın Güvenlik Açıkları ve Etkilenmeler

Yaygın Güvenlik Açıkları ve Etkilenmeler (CVE), kamuya açıklanmış bilgi güvenliği açıklarını sınıflandırmak ve kimliklendirmek için oluşturulmuş bir sözlük ve referans sistemidir. Bir CVE'den söz edildiğinde, kamuya açıklanmış bir zafiyete atanmış benzersiz CVE kimliği kastedilir. 

CVE sistemi, MITRE tarafından işletilen Amerika İç Güvenlik Sistemleri Mühendisliği ve Geliştirme Enstitüsü (HSSEDI) bünyesinde yönetilmektedir. Finansmanı, ABD İç Güvenlik Bakanlığı'na bağlı Ulusal Siber Güvenlik Birimi tarafından sağlanmaktadır. Kamunun kullanımına ilk olarak Eylül 1999'da açılmıştır. 

 CVE tanımlayıcıları 
MITRE dokümantasyonunda CVE tanımlayıcıları (ayrıca "CVE adı", "CVE numarası" veya "CVE-ID" olarak da kullanılır), kamuya açık şekilde yayımlanmış yazılım paketlerindeki bilgi güvenliği zafiyetlerinin referanslanmasında kullanılan benzersiz ve ortak kimlikler olarak tanımlanır. Tarihsel olarak CVE tanımlayıcıları önce "aday" (CAN-) statüsünde olur, daha sonra "kayıtlı" (CVE-) statüsüne yükseltilirdi, ancak bu uygulama 2005 yılında son bulmuştur. Bir zafiyete CVE numarası atanması, onun resmi bir CVE girdisi haline geleceğini garanti etmez. Örneğin güvenlik açığı niteliği taşımayan bir duruma yanlışlıkla CVE atanmış olabilir veya ilgili sorun zaten daha önceden farklı bir numarayla atanmış da olabilir. Eğer kriterler karşılanmıyorsa, MITRE veya bir CVE Numaralandırma Otoritesi (CNA) bu girdiyi 'REJECTED'  durumuna alabilir.

CVE'ler bir CVE Numaralandırma Otoritesi (CNA) tarafından atanır. Geçmişte farklı sağlayıcılar bu rolü üstlenmiş olsa da, CNA adı ve rolü resmi olarak 1 Şubat 2005'te tanımlanmıştır. CVE numarası atayabilen dört temel rol bulunmaktadır:

 MITRE, Editör ve Birincil CNA olarak görev yapar.
 Çeşitli CNA'lar, kendi ürünleri için CVE numarası atar (örneğin Microsoft, Oracle, HP)
 CERT/CC gibi üçüncü taraf koordinatörler, diğer CNA'ların kapsamadığı ürünler için CVE numarası atayabilir 
 Bazı durumlarda bireysel araştırmacılara da CNA rolü verilmiştir.

Bir zafiyet veya "potansiyel" bir zafiyet araştırılırken, CVE numarasının erken aşamada atanması fayda sağlar. Zafiyetin henüz kamuoyuyla paylaşılmamış olması ya da MITRE'nin insan kaynağı sınırlamaları nedeniyle ilgili girdinin henüz yazılmamış olması gibi nedenlerle, CVE numaraları MITRE veya NVD veritabanlarında hemen görünmeyebilir. Bu görünme süresi kimi zaman günler, aylar hatta yıllar sürebilir. Erken CVE adaylığının faydası, ilerleyen süreçteki yazışma ve koordinasyonda tüm tarafların aynı CVE numarasına atıf yapabilmesi ve böylece aynı zafiyetten söz ettiklerinin garanti altına alınabilmesidir.

Açık kaynak projeler için CVE tanımlayıcısı edinmeye ilişkin bilgiler Red Hat ve GitHub tarafından sağlanmaktadır.

CVE'ler kamunun kullanımına sunulmuş yazılımlar içindir, eğer çok sayıda kişi tarafından kullanılıyorsa, buna beta ve erken erişim sürümler de dahil edilebilir. Ticari yazılımlar da "kamunun kullanımına sunulmuş" kategorisine dahildir; ancak özel kullanım için tasarlanmış, dağıtılmamış uygulamalar CVE tanımlayıcısı almaz.

CVE sisteminin ilk yıllarında dijital hizmetlerde (örneğin web tabanlı bir mail sağlayıcısı) bir zafiyet tespit edildiğinde (örneğin bir XSS açığı) bu zafiyet dağıtımda olan bir yazılım ürününde de tespit edilmediği sürece CVE atanmazdı. Ancak bulut hizmetlerinin ve web tabanlı platformların yaygınlaşmasıyla birlikte, bu konuya dair resmi kısıtlamalar ve kurallar henüz bulunmamakla beraber, başta MITRE olmak üzere bazı CNA'lar hizmet tabanlı sistemlere CVE numarası atamaya başlamıştır.

Kaynakça

Dış bağlantılar

 National Vulnerability Database (NVD)

Kategori:Exploitler
Kategori:Güvenlik veritabanları