Common Vulnerabilities and Exposures: differenze tra le versioni

Versione delle 18:27, 12 giu 2016

Versione delle 06:53, 12 lug 2016

Riga 1:

{{S|sicurezza informatica}}

Il '''''Common Vulnerabilities and Exposures''''', o '''CVE''' (in italiano '''Vulnerabilità ed esposizioni comuni'''), è un dizionario di vulnerabilità e falle di sicurezza note pubblicamente. È mantenuto dalla [[:en:MITRE Corporation|MITRE Corporation]] ed è finanziato dalla [[:en:National Cybersecurity FFRDC|National Cybersecurity FFRDC]] del [[United States Department of Homeland Security|Dipartimento della Sicurezza interna degli Stati Uniti]].<ref>{{Cita web | titolo = CVE - Common Vulnerabilities and Exposures | autore= [[:en:MITRE Corporation|MITRE Corporation]] | data= 3 luglio 2007 | url = http://cve.mitre.org/ | accesso= 20-11-2008}}</ref>

Il CVE è utilizzato dal [[:en:Security Content Automation Protocol|Security Content Automation Protocol]] (SCAP) e le vulnerabilità, identificate da un identificatore univoco, sono elencate nel sistema MITRE e nel [[:en:National Vulnerability Database|National Vulnerability Database]] americano. L’identificazioneL'identificazione univoca delle CVE permette una maggiore comunicazione nel mondo della sicurezza e aiuta nella valutazione della diffusione di servizi e strumenti.<ref>{{Cita web |titolo = CVE - Common Vulnerabilities and Exposures | url = http://cve.mitre.org/ | accesso= 06-06-2016 | citazione = CVE’s common identifiers enable data exchange between security products and provide a baseline index point for evaluating coverage of tools and services.}}</ref>

Come detto nel sito CVE, il principale metodo per richiedere l’inserimentol'inserimento di una vulnerabilità tra quelle conosciute è farne richiesta a una CNA (CVE Numbering Authorities), organizzazioni di ricerca, ricercatori nel campo della sicurezza e produttori di sistemi operativi.

Tra essi possiamo trovare: [[Adobe Systems|Adobe]], [[Apple]], [[Attachmate]], [[BlackBerry]], [[:en:CERT Coordination Center|CERT Coordination Center]], [[Cisco Systems|Cisco]], [[Debian GNU/Linux]], [[Distributed Weakness Filing Project]], [[EMC Corporation|EMC]], [[FreeBSD]], [[Google]], [[Hewlett-Packard|HP]], [[IBM]], [[ICS-CERT]], [[JPCERT/CC]], [[Juniper Networks|Juniper]], [[Microsoft]], MITRE (CNA primaria), [[Mozilla]], [[Oracle]], [[Red Hat]], [[Silicon Graphics]], [[Symantec]] and [[Ubuntu Linux]].<ref>{{Cita web | titolo = CNA - CVE Numbering Authorities | url = http://cve.mitre.org/cve/cna.html#participating_cnas | accesso= 06-06-2016}}</ref>

Riga 21:

==Campi dati CVE==

Ci sono diversi campi all’internoall'interno di un database CVE anche se alcuni non sono più utilizzati. Tra i campi non più utilizzati troviamo indicazioni sulla fase in cui sono le CVE (voci o candidati), sui voti (per decidere se trasformare i candidati in voci i membri votavano), i commenti e le proposte.

===Descrizione===

È la descrizione di un numero CVE, un esempio tipico è:" ** RESERVED **"; ovvero, l’identificativol'identificativo è stato riservato dal MITRE o da una CNA (di solito li richiedono a blocchi) e quindi resterà così marcato anche se non verrà assegnato veramente a una vulnerabilità per un po’po' di tempo.

===Riferimenti===

Riga 34:

==Modifiche sintassi ID CVE==

Fin dall’introduzionedall'introduzione del CVE, nel 1999, la sintassi relativa agli ID CVE era del tipo CVE-YYYY-NNNN: supportava un massimo di 9999 identificatori unici all’annoall'anno.

Negli ultimi anni la crescita del numero di vulnerabilità da registrare ha portato alla modifica di questa sintassi, entrata in vigore il 13 Gennaio 2015. <ref>{{Cita web | titolo = CVE-ID Syntax Change | url = https://cve.mitre.org/cve/identifiers/syntaxchange.html | accesso = 11-06-2016}}</ref>

Riga 48:

Quando alcune vulnerabilità vengono considerate unificabili, vengono divise per tipo (ad esempio[[ buffer overflow]]/[[stack overflow]]), poi per versione del software che colpiscono e infine in base al soggetto che le riporta (se viene riportata da due soggetti diversi verrà fatto uno SPLIT e registrata con due CVE ID diversi).

Ad esempio, se Alice segnala una vulnerabilità nella creazione di un file /tmp nelle versioni precedenti alla 1.2.3 del browser web ExampleSoft e, oltre a questa, vengono trovate altre vulnerabilità nella creazione di file /tmp, in molti casi questa viene considerata come due segnalazioni distinte (questo genererà due identificativi CVE separati, se Alice lavora per ExampleSoft e un team interno a ExampleSoft trova le altre vulnerabilità allora i due CVE possono essere unificati).

Al contrario se, ad esempio, Bob trovasse 145 vulnerabilità XSS in ExamplePlugin per ExampleFramework indipendentemente dalle versioni colpite, esse potrebbero essere unificate in un’unicaun'unica voce (MERGE)<ref>{{Cita web | titolo =CVE Abstraction Content Decisions: Rationale and Application | url = https://cve.mitre.org/cve/editorial_policies/cd_abstraction.html | accesso = 12-06-2016}}</ref>.

==Dove trovare le CVE==