Was ist ein CVE?

Zwei Bilder zur Verdeutlichung

Erstens ist ein CVE ein Nummernschild. Es bezeichnet ein bestimmtes Fahrzeug, und zwar nur eines. Es sagt Ihnen nicht, wie schnell es sich bewegt, ob es sich überhaupt bewegt oder ob es Ihren Weg bereits gekreuzt hat. Zwei Zeugen, die dasselbe Kennzeichen nennen, sprechen zwangsläufig über dasselbe Fahrzeug: Das ist alles, was es garantiert, und das ist schon eine Menge.

Zweitens ist ein CVE ein Notaufnahme-Fallnummer. Sie erhalten es bei der Aufnahme, vor jeder Diagnose: Die Nummer existiert, solange die Akte noch leer ist. Das ist genau der „reservierte“ Zustand eines CVE, und deshalb kann ein CVE in einem Tool fast ohne Informationen auftauchen und sich dann in den folgenden Tagen ausfüllen.

Denken Sie an die Frage, die ein CVE beantwortet: Von welchem Fehler reden wir? – nicht „Ist es ernst?“, nicht „Werde ich angegriffen?“

Anatomie eines Bezeichners: CVE-YYYY-NNNN

Ein CVE-Bezeichner folgt immer der gleichen Struktur:

Zwei Feinheiten, die fast jeder vermisst:

• Das Jahr spiegelt die wider Reservierung der Kennung, nicht der Veröffentlichung. Eine im Dezember 2025 reservierte und im März 2026 veröffentlichte CVE behält ihr Jahr 2025. Das Sortieren eines Feeds nach Jahr hat also nichts mit dem Sortieren nach Aktualität zu tun.
• Die Sequenznummer hat mindestens vierstellig und kann länger werden. Wir sind gegangen CVE-2014-0160 zu sechsstelligen Bezeichnern, um das Volumen zu absorbieren: Eine alphabetische Sortierung bricht dort ab, wo eine numerische Sortierung gilt.

Wer weist CVEs zu: die Rolle von CNAs

Keine zentrale Behörde vergibt Identifikatoren. Dieser Job gehört autorisierten Organisationen namens CNA (CVE-Nummerierungsbehörden), die sie in ihrem eigenen Rahmen reservieren und veröffentlichen. Das Programm zählt mehr als 400 weltweit; Die offizielle Liste, die einzig aktuelle, wird von cve.org veröffentlicht.

• Die Anbieter (Microsoft, Apple, Google, Red Hat, Cisco…) sind ihr eigenes CNA und veröffentlichen das CVEs für ihre Produkte.
• Es gibt auch Koordinatoren – CERT/CC, nationale CERTs – die Software ohne Hersteller CNA abdecken, insbesondere Open Source.
• Die MITRE ist der Root-CNA und das Sekretariat des Programms; CISA, die US-amerikanische Cybersicherheitsbehörde, finanziert es.

Dieses dezentrale Modell sorgt für Abdeckung und Schnelligkeit: Wer den Fehler am besten kennt, dokumentiert ihn. Dies ist mit Kosten verbunden, die Gegenstand des nächsten Abschnitts sind.

Was ein CVE-Datensatz enthält und was oft fehlt

Ein veröffentlichter CVE bietet mindestens:

• a Beschreibung der Verwundbarkeit;
• die betroffene Produkte und Versionen, idealerweise als standardisierte Kennung, CPE (Gemeinsame Plattformaufzählung, das Benennungsschema, das Software maschinenlesbar beschreibt);
• die Schwäche dahinter, klassifiziert nach CWE;
• a Schweregradbewertung basierend auf CVSS, zum Zeitpunkt der Veröffentlichung nicht immer verfügbar;
• und Referenzen: Sicherheitshinweise, Patches, Proofs of Concept.

Wie vollständig diese Felder sind hängt ganz vom CNA ab das die Aufzeichnung veröffentlicht. Seit Februar 2024 hat sich die Anreicherung durch NVD (nachträglich hinzugefügte Bewertungen und CPEs) stark verlangsamt, sodass eine große Anzahl von Datensätzen ohne verwendbare Daten der betroffenen Version zurückbleibt. Ein CVE ohne CPE oder Versionsbereich kann von keinem Tool mit einem Inventar abgeglichen werden: Es ist für die automatisierte Korrelation unsichtbar. Das ist der praktische Grund, warum mehrere gegengeprüft werden Datenquellen ist unverzichtbar geworden, und warum das Qualität eines CNA lohnt sich zu messen.

Der Lebenszyklus eines CVE

Ein CVE ist nicht in Stein gemeißelt. Sein Status ändert sich, und diese Änderungen sind oft wichtiger als die Erstveröffentlichung.

Zu diesen Zuständen kommen noch zwei hinzu Übergänge die alles für die Priorisierung ändern: zum hinzugefügt werden CISA KEV-Katalog, was bedeutet, dass Ausbeutung beobachtet wurde, und das Auftreten eines Proof of Concept (PoC, kurz gesagt: veröffentlichter Code, der den Angriff demonstriert), der die Ausnutzung für jedermann zugänglich macht. Eine Überwachung, die nur neue Veröffentlichungen erfasst, verfehlt beides.

CVE, CVSS, EPSS, KEV: Verwechseln Sie sie nicht

Dies ist die häufigste Verwirrung und kostet viel Zeit. Ein CVE identifiziert; die anderen drei charakterisieren der gleiche Fehler aus verschiedenen Blickwinkeln.

Ein Fehler, der in allen vier Frameworks zu sehen ist

Nehmen wir Log4Shell und folgen wir ihm von einem Framework zum nächsten. Diese Übung macht den Unterschied deutlicher als jede andere Definition.

Lesen Sie die letzte Zeile: Nur zwischen Veröffentlichung und bestätigter Verwertung ein paar Stunden ging vorbei. Bei einem Fehler mit diesem Profil wird die Zeitspanne zwischen „Wir finden es heraus“ und „Wir werden angegriffen“ nicht in Wochen gemessen. Das hätte Ihnen der CVSS-Score allein nie verraten.

Drei CVEs, die Geschichte geschrieben haben

Herzblut – CVE-2014-0160 (April 2014)

Ein OpenSSL-Fehler, der es Angreifern ermöglicht, den Speicher eines Servers auszulesen: private Schlüssel, Passwörter, Sitzungsinhalte. Ein aufschlussreiches Detail: Der CVSS hat einen Wert von 3,1 7.5, „hoch“, nicht „kritisch“ – weil es nur das Lesen ermöglicht, ohne etwas zu verändern oder zu stören. Dennoch führte dies zur Neuausstellung eines großen Teils der Web-Zertifikate. Beweis, dass der Score nicht die Reichweite misst.

Log4Shell — CVE-2021-44228 (Dezember 2021)

Remote-Codeausführung in Log4j, der Protokollierungsbibliothek, die in einem großen Teil der Java-Unternehmenssoftware zu finden ist. Mit 10 von 10 Punkten bewertet, innerhalb weniger Stunden nach der Offenlegung massenhaft ausgenutzt. Die bleibende Lektion: Die meisten betroffenen Organisationen wussten nicht, dass sie Log4j verwendeten, da es sich um eine Abhängigkeit von einer Abhängigkeit handelte.

XZ Utils-Hintertür – CVE-2024-3094 (März 2024)

Eine absichtlich in ein Linux-Komprimierungstool eingebaute Hintertür, das Ergebnis zweijähriger Geduld eines Mitwirkenden, der zum Betreuer wurde. Zufällig von einem Entwickler entdeckt, der einige Wochen bevor das Paket stabile Distributionen erreichte, eine ungewöhnlich langsame SSH-Verbindung bemerkte. Mit 10 von 10 Punkten bewertet. Dadurch wurde die Frage von „Ist mein Code sicher?“ verschoben. zu „Wem vertraut mein Code?“

Warum das CVE-Volumen explodiert

Die Zahlen der letzten vollen Jahre: mehr als 40.000 CVEs veröffentlicht im Jahr 2024, ungefähr 28.800 im Jahr 2023, 25.000 im Jahr 2022. Die Kurve ist seit 2016 kein einziges Jahr gesunken. Mehr Software, mehr Forscher, mehr autorisierte CNAs: Alle drei Faktoren gehen in die gleiche Richtung.

Lassen Sie uns das in Arbeitszeit umrechnen. Das sind vierzigtausend CVEs, verteilt auf etwa 250 Arbeitstage 160 Datensätze pro Tag. Es dauert fünfundvierzig Sekunden, um eine Akte zu lesen und zu entscheiden, ob sie Sie betrifft zwei Stunden pro Arbeitstag – für eine Relevanzrate, die für eine KMU-Umgebung deutlich unter einem Prozent liegt. Kein Team kann dieses Tempo halten und sollte es auch nicht müssen.

Der offizielle Zähler des Programms wird fortlaufend aktualisiert und unter cve.org/about/Metrics veröffentlicht. Wir weisen Sie lieber darauf hin, als hier eine Zahl einzufrieren, die in sechs Monaten veraltet sein wird.

Was es für Sie in der Praxis bedeutet

Hier ist, was ein Team, das nicht mehr im Feed ertrinkt, am Montagmorgen macht.

1. Notieren Sie das Inventar. Anbieter, Produkt, Hauptversion, für alles, was exponiert ist oder Daten trägt. Zwanzig bis vierzig Zeilen genügen in einem KMU. Ohne diese Liste ist keine Filterung möglich: Das ist die einzige Arbeit, die sich wirklich nicht abkürzen lässt.
2. Filtern Sie anhand dieser Liste. Alles, was nicht mit einer Zeile im Inventar übereinstimmt, liegt außerhalb des Geltungsbereichs. Dort verschwinden 99 % des Lärms.
3. Sortieren Sie den Rest in dieser Reihenfolge. Im KEV → Innerhalb von 48 Stunden verarbeiten. Ansonsten, EPSS über 0,1 → diese Woche. Ansonsten, CVSS bricht das Unentschieden, und nur dann.
4. Beobachten Sie die Übergänge. Ein am Dienstag mit „niedrig“ bewerteter CVE kann am Donnerstag in den KEV einsteigen. Was eine Warnung auslösen sollte, ist nicht nur eine Veröffentlichung, sondern eine Statusänderung.

FAQ