Todos que estão começando ou já trabalham com cibersegurança já devem ter se deparado com nomes de vulnerabilidades e links que apontam para sites que explicam com mais detalhes sobre aquela determinada falha.
Percebe-se também que esses links vem com o título CVE seguida por uma data (Ex: CVE-2018-0001). Mas o que isso significa? Qual a sua finalidade?
Nesse artigo, será retratado tudo sobre o que é CVE e qual é seu principal objetivo.
A sigla CVE significa “Common Vulnerabilities and Exposures” (vulnerabilidades e exposições comuns), seguido do ano que ela foi reportada (Ex: CVE-2018-0001), seu objetivo é facilitar a distribuição em bancos de dados de vulnerabilidades.
Um exemplo da utilidade do CVE é visto quando se realiza um Scan em um alvo com a ferramenta Nmap (Ex: Utilizando a opção “–script=vuln”), em que as consultas são feitas em um banco de dados para consultar falhas sobre os serviços do alvo. Isso acontece pois a CVE por si só torna a busca por informações em outros bancos de dados mais fácil e não deve por si própria ser considerada como banco de dados de vulnerabilidade.
Como reportar uma CVE
Existem várias formas de reportar uma CVE, uma delas é através do site https://cve.mitre.org onde lá terão várias informações de como reportar uma CVE. Outro site onde pode-se reportar falhas é através do https://www.exploit-db.com/ , em que exploits e até mesmo 0 days são reportados diariamente.
Veja a documentação de como reportar uma CVE no link abaixo:
https://cve.mitre.org/cve/cna.html#submitting_cve_assignment_info