In parole semplici, il CVE delle patch (Common Vulnerabilities and Exposures) è un ID univoco assegnato a un problema di sicurezza riscontrato nel software. Quando gli esperti scoprono una falla o una debolezza in un programma, gli assegnano un ID CVE.
Questo aiuta tutti a parlare del problema capendo a cosa ci si riferisce e a lavorare insieme per risolverlo. Esiste un programma CVE, la cui missione è quella di identificare, definire e catalogare le vulnerabilità di sicurezza informatica divulgate pubblicamente.
Che cos’è il CVE?
Il programma CVE è supervisionato dalla MITRE corporation con il finanziamento della Cybersecurity and Infrastructure Security Agency (CISA), parte del Dipartimento di Sicurezza Nazionale degli Stati Uniti. Ecco come funziona:
- Identificazione delle vulnerabilità: Quando viene scoperta una vulnerabilità di sicurezza, da parte di ricercatori di sicurezza, fornitori o altre parti interessate, le viene assegnato un identificatore CVE univoco.
- Assegnazione CVE: Il programma CVE assegna un ID CVE a ogni vulnerabilità segnalata. Questo identificatore segue un formato specifico, in genere composto dal prefisso “CVE” seguito da un anno e da un numero sequenziale (per esempio CVE-2024-12345).
- Creazione della voce CVE: Per ogni ID CVE assegnato viene creata una voce CVE. Questa voce include informazioni dettagliate sulla vulnerabilità, come la descrizione, le versioni del software interessate, l’impatto potenziale ed eventuali riduzioni dei rischi o correzioni disponibili.
- Divulgazione al pubblico: Le voci CVE sono rese pubblicamente accessibili attraverso il database CVE e altri canali. Ciò consente ai professionisti della sicurezza, ai fornitori, ai ricercatori e agli utenti di accedere alle informazioni sulle vulnerabilità conosciute e di intraprendere azioni appropriate per affrontarle. È importante notare che prima della divulgazione pubblica, i fornitori interessati vengono informati della vulnerabilità riscontrata, in modo che possano lavorare in anticipo alla correzione.
- Coordinamento e collaborazione: Il programma CVE facilita la collaborazione tra le varie parti interessate, tra cui fornitori, ricercatori, coordinatori di vulnerabilità e in generale la comunità della sicurezza informatica. Questa collaborazione contribuisce a garantire che le vulnerabilità siano affrontate in modo efficace e che le informazioni rilevanti siano condivise in modo trasparente.
- Riferimenti incrociati: Gli ID CVE sono ampiamente utilizzati come riferimenti nei consigli di sicurezza, nei database delle vulnerabilità e in altre risorse di sicurezza informatica. Ciò consente di incrociare e collegare facilmente le informazioni relative a vulnerabilità specifiche tra piattaforme e repository diversi.
- Monitoraggio e aggiornamenti continui: Il programma CVE monitora costantemente la presenza di nuove vulnerabilità e aggiorna le voci CVE esistenti non appena sono disponibili nuove informazioni. Ciò garantisce che il database CVE rimanga preciso e aggiornato nel tempo.
Nel complesso, il programma CVE svolge un ruolo fondamentale nella standardizzazione dell’identificazione, della documentazione e della comunicazione delle vulnerabilità, facilitando così pratiche efficaci di cybersecurity e migliorando la postura complessiva della sicurezza nel panorama digitale.
Qual è un esempio di CVE?
Nel 2018 è stata annunciata una vulnerabilità che colpiva i moderni microprocessori, chiamata Spectre. Il problema riguardava tutti i processori che utilizzavano l’esecuzione speculativa.
L’impatto di questa vulnerabilità è stato enorme, in quanto sono stati colpiti quasi tutti i sistemi informatici del mondo, tra cui server, desktop, laptop e dispositivi mobili, ed è stato dimostrato che riguardava processori Intel, AMD, ARM e IBM. Dato il suo impatto significativo, ha suscitato particolare interesse nella comunità IT.
CVE-2017-5753 e CVE-2017-5715 sono i riferimenti ufficiali a Spectre e il motivo per cui ce ne sono due è che esistono due varianti diverse di questa vulnerabilità.
Qual è il rapporto tra patch, vulnerabilità e CVE?
Le patch, le vulnerabilità e le CVE (Common Vulnerabilities and Exposures) sono componenti strettamente interconnessi nell’ambito della sicurezza informatica. Le vulnerabilità rappresentano debolezze o falle nel software, nell’hardware o nei sistemi, che i malintenzionati possono sfruttare per compromettere la sicurezza.
Una volta scoperte le vulnerabilità, gli sviluppatori rilasciano patch o aggiornamenti per risolverle, migliorando così la sicurezza del sistema o del software interessato.
I CVE, invece, sono identificatori standardizzati assegnati alle vulnerabilità divulgate pubblicamente, che forniscono un punto di riferimento unico per tenere traccia e discutere dei problemi di sicurezza su varie piattaforme e in diverse organizzazioni.
Le patch sono le correzioni progettate per risolvere le vulnerabilità, mentre i CVE servono come nomenclatura standardizzata per identificare e comunicare queste vulnerabilità, facilitando così la collaborazione e la condivisione delle informazioni all’interno della comunità della sicurezza informatica.
Questa relazione sottolinea l’importanza di un patching tempestivo per ridurre i rischi per la sicurezza, e il ruolo dei CVE nel semplificare la gestione delle vulnerabilità e gli sforzi di comunicazione.
Come faccio a sapere se il mio sistema è affetto da una vulnerabilità classificata con CVE?
- Il numero di CVE segnalati è enorme, quindi tenere traccia di tutti in relazione a un sistema è complesso. Fortunatamente, gli sviluppatori risolvono le vulnerabilità nelle versioni più recenti dei software, quindi in genere, quando il sistema operativo e le applicazioni vengono aggiornati, i CVE più vecchi sono già stati risolti e non c’è bisogno di preoccuparsi. I sistemi più vecchi possono essere a rischio, ma considerando che nuovi CVE appaiono ogni giorno, c’è qualche rischio anche con i sistemi più recenti.
- Le patch software sono classificate in modi diversi, ma le patch critiche e di sicurezza sono quelle che risolvono le vulnerabilità. Se nel tuo sistema non è stato installato uno di questi elementi, è probabile che sia affetto da una vulnerabilità segnalata da un CVE.
- Il modo per essere sicuro di avere visibilità su tutto è avere un sistema di gestione delle patch che garantisca che i sistemi siano aggiornati con le patch più recenti. Poiché le applicazioni e i sistemi operativi hanno un supporto limitato, a un certo punto i fornitori smettono di fare ricerche e di rilasciare aggiornamenti di sicurezza, quindi rimanere aggiornato con hardware, sistema operativo e applicazioni recenti è un’altra parte fondamentale dell’approccio complessivo di sicurezza.
NinjaOne può rilevare i sistemi interessati da una vulnerabilità CVE?
NinjaOne è in grado di rilevare i sistemi privi di patch e di individuare la classificazione delle patch . L’uso di NinjaOne può aiutare a rilevare i sistemi in cui mancano patch critiche o di sicurezza, da considerare quindi vulnerabili e probabilmente affetti da una vulnerabilità riportata in un CVE.