CVE اختصار لـ Common Vulnerabilities and Exposures، وهو قاموس عالمي للثغرات الأمنية المعلنة، تديره مؤسسة MITRE برعاية حكومية أمريكية منذ عام 1999. الهدف بسيط لكنه جوهري: أن تحمل كل ثغرة اسماً واحداً موحداً تستخدمه الشركات المصنعة وأدوات الفحص وأجهزة IPS والباحثون، بدلاً من أن يسميها كل طرف باسم مختلف.
صيغة رقم CVE
يتكون المعرّف من ثلاثة أجزاء: CVE-السنة-الرقم، مثل CVE-2021-44228. السنة تشير إلى سنة حجز الرقم وليس بالضرورة سنة اكتشاف الثغرة، والرقم التسلسلي قد يتكون من أربعة أرقام أو أكثر.
كيف يُمنح الرقم؟
تُصدر الأرقام عبر جهات معتمدة تسمى CNA (CVE Numbering Authority)، وتشمل مئات الجهات مثل Microsoft و Cisco و Fortinet و Google وشركات أبحاث أمنية. عندما تكتشف الشركة ثغرة في منتجها أو يبلغها باحث، تحجز رقماً وتنشر وصفاً مختصراً عند الإعلان. بعدها تضيف قواعد بيانات مثل NVD التابعة لمعهد NIST معلومات إضافية كدرجة خطورة CVSS والمنتجات المتأثرة.
مثال عملي
عندما يصدر تنبيه أمني من سيسكو يذكر رقم CVE، يمكن لمسؤول الشبكة:
- البحث بالرقم في أداة إدارة الثغرات لمعرفة أي أجهزة لديه متأثرة.
- التأكد من وجود توقيع IPS يحمل نفس الرقم لتفعيله كحماية مؤقتة.
- مراجعة قائمة CISA KEV لمعرفة إن كانت الثغرة مستغلة فعلياً، وهي إشارة لرفع الأولوية فوراً.
ومن أشهر الأرقام التي يعرفها كل العاملين في الأمن: CVE-2017-0144 المعروفة بـ EternalBlue في بروتوكول SMBv1 والتي استغلها WannaCry، وCVE-2014-0160 (Heartbleed)، وCVE-2021-44228 (Log4Shell).
كيف تستفيد منه في إدارة الثغرات؟
- اشترك في نشرات الأمان الخاصة بالمنتجات التي تستخدمها، وتتبع أرقام CVE المتعلقة بها.
- لا ترتب الأولويات بدرجة CVSS وحدها؛ أضف عوامل مثل: هل الجهاز مكشوف على الإنترنت؟ هل يوجد استغلال فعلي؟
- وثّق في سجل التغييرات رقم CVE الذي عالجه كل تحديث.
الفرق بين CVE و CVSS و CWE
CVE هو اسم الثغرة المحددة. CVSS هو مقياس خطورتها من 0 إلى 10. أما CWE فهو تصنيف لنوع الخطأ البرمجي المسبب، مثل CWE-79 لـ XSS و CWE-89 لـ SQL Injection.
