Common Vulnerabilities and Exposures: differenze tra le versioni

Versione delle 17:25, 30 apr 2019

Versione delle 15:48, 23 giu 2019

Riga 1:

Il '''''Common Vulnerabilities and Exposures''''', o '''CVE''' (in italiano '''Vulnerabilità ed esposizioni comuni'''), è un dizionario di vulnerabilità e falle di sicurezza note pubblicamente. È mantenuto dalla [[MITRE Corporation]] ed è finanziato dalla [[National Cybersecurity FFRDC]] del [[United States Department of Homeland Security|Dipartimento della Sicurezza interna degli Stati Uniti]].<ref>{{Cita web | titolo = CVE - Common Vulnerabilities and Exposures | autore= [[:en:MITRE Corporation|MITRE Corporation]] | data= 3 luglio 2007 | url = https://cve.mitre.org/ | accesso= 20-11-2008}}</ref>

Il CVE è utilizzato dal [[Security Content Automation Protocol]] (SCAP) e le vulnerabilità, identificate da un identificatore univoco, sono elencate nel sistema MITRE e nel [[National Vulnerability Database]] americano. L'identificazione univoca delle CVE permette una maggiore comunicazione nel mondo della sicurezza e aiuta nella valutazione della diffusione di servizi e strumenti.<ref>{{Cita web |titolo = CVE - Common Vulnerabilities and Exposures | url = https://cve.mitre.org/ | accesso= 06-06-2016 | citazione = CVE’s common identifiers enable data exchange between security products and provide a baseline index point for evaluating coverage of tools and services.}}</ref>

Riga 15:

I numeri CVE possono non risultare nel National Vulnerability Database o nei database del MITRE per diverso tempo (da giorni ad anni) a causa di problemi relativi alla loro divulgazione (la loro catalogazione è stata approvata ma non sono stati resi pubblici).

Informazioni su come ottenere ID CVE relativi a progetti Open Source sono disponibili sul sito di Red Hat.<ref>{{Cita web | titolo = CVE OpenSource Request HOWTO | autore = [[:en:Red Hat Inc.|Red Hat Inc.]] | url = https://people.redhat.com/kseifrie/CVE-OpenSource-Request-HOWTO.html | accesso = 07-06-2016 | citazione = There are several ways to make a request depending on what your requirements are: | urlarchivio = https://web.archive.org/web/20140712170948/http://people.redhat.com/kseifrie/CVE-OpenSource-Request-HOWTO.html | dataarchivio = 12 luglio 2014 | urlmorto = sì }}</ref>

Le CVE riguardano software pubblicamente rilasciati, incluse le versioni beta, quelle in pre-ordine (se largamente diffuse) e i programmi commerciali. Tra le categorie a cui non vengono assegnate CVE troviamo sistemi custom non distribuiti e servizi addizionali (ad esempio provider di posta web-based con criticità quali il [[Cross-site scripting]]) a meno che il problema non sia presente in un software sottostante pubblicamente distribuito.