O que é CVE
CVE é o identificador público de uma vulnerabilidade divulgada. O código tem o formato CVE-AAAA-NNNNN e permanece estável, o que permite citar a mesma falha em avisos, ferramentas e bases de consulta.
O identificador não descreve a gravidade nem a correção. Ele cria um nome comum para que fornecedores, pesquisadores e áreas de operação falem da mesma falha sem confusão.
A origem do identificador
Uma organização autorizada pelo programa CVE recebe a solicitação e publica o registro. O fornecedor do produto costuma ser a origem do aviso, mas pesquisadores independentes também podem solicitar o código.
O registro passa por uma base pública, e o NVD acrescenta análise, nota e referências. As duas bases ajudam a localizar a falha, e nenhuma delas substitui o aviso oficial do fornecedor.
O que o CVE não informa
O CVE não informa a nota de gravidade, as versões afetadas, a condição de exploração nem a versão corrigida. Essas informações ficam no aviso do fornecedor e na análise publicada.
Um código publicado também não confirma que a falha foi explorada. A existência do registro indica que a vulnerabilidade foi descrita e recebeu um nome, não que um ataque aconteceu.
Como usar o registro na rotina
Liste as dependências e os serviços expostos. Ao encontrar um CVE que afeta um deles, confira a versão instalada e a versão corrigida. Registre a data da verificação e o que foi aplicado.
O deploy precisa incluir a atualização no ambiente correto. Um pacote corrigido no repositório não altera o servidor até ser publicado. A release interna também registra quando a correção entrou.
O aviso do fornecedor continua necessário
O aviso oficial descreve a condição que permite a exploração e as medidas de contenção. Ele também informa se a correção foi distribuída pela distribuição ou pela hospedagem, o que muda o caminho de atualização.
A segurança do ambiente depende dessa leitura, além do código. Para revisar dependências e servidores expostos, o Desenvolvimento Colaborativo da Dev Side Studio permite conferir a configuração durante a sessão.
Dúvidas frequentes
Perguntas frequentes sobre CVE
- O CVE indica a gravidade da falha?
- Não. O identificador apenas nomeia a vulnerabilidade. A gravidade vem da nota CVSS e das condições descritas pelo fornecedor.
- Todo CVE tem correção disponível?
- Não. Um aviso pode ser publicado antes da versão corrigida. Nesse caso, acompanhe o fornecedor e aplique as medidas de contenção indicadas.
- O CVE é a única fonte que preciso consultar?
- Não. O aviso do fornecedor traz as versões afetadas, a condição de exploração e o caminho da correção. O CVE é o ponto de partida.
- Como usar o CVE na rotina?
- Confira as dependências e os servidores contra o aviso, identifique a versão instalada e verifique se a correção já está disponível e aplicada.
Para continuar
Recursos relacionados
Site de referência
CVE Program: visão geral
Explica o programa, a origem dos identificadores e como o registro é mantido.
Abrir recursoSite de referência
NVD: banco nacional de vulnerabilidades
Reúne registros, notas e referências técnicas para cada CVE publicado.
Abrir recursoAplicação na formação
Formação DevOps
O CVE permite localizar a correção de uma falha em uma dependência usada no servidor.
Conhecer a formação
Fontes consultadas
Referências deste verbete
Este verbete ajudou você?
Obrigado pela resposta. Ela fica salva apenas neste navegador.