CVEとは？脆弱性に割り当てられる脆弱性には一意のIDを解説

　この記事では、SCAPの構成要素として紹介したCVE(Common Vulnerability Exposure)について、管理団体の話やAPIの話などを中心に解説していきます。

実践的セキュリティスクール「セキュ塾」で、この記事の執筆者でもあり「OSINT実践ガイド」の著者でもある「面和毅」が主講師を務める「脅威インテリジェンス育成コース」の2024年11月2日より開講中！こちらの講座はいつからでも受講を開始できる講座になっておりますので、ぜひチェックしてみてください！

詳細はこちらから！

CVEとは
CVE Boardと組織の構造
CVEレコードの参照(cve.org)
- CVE-2024-6387(通称「regreSSHion」)の確認
CVE情報の取得方法（API）
- APIを使用したCVE情報取得のサンプル
CVEの取得方法（DB）
CVEの更新・登録情報（X: 旧Twitter）
参考情報
- 関連記事:

CVEとは

　脆弱性には一意のCVE（Common Vulnerability Exposure）のIDが割り当てられます。CVE-IDの形式は「CVE-”年(YYYY)”-”(番号)”」という形で割り振られています。

　これらのCVE-IDはCNAがユニークな番号で発行し、「CVE Board」が中心になって管理しています。

CVE Boardと組織の構造

　CVE-IDは、米国の非営利団体であるMITREが事務局となっている「CVE Board」が中心になって管理されています。IDの付与はTopレベル RootがMITREと米国CISA（Cybersecurity and Infrastructure Security Agency ): アメリカ合衆国サイバーセキュリティ・社会基盤安全保障庁」となるツリー構造の組織で行われ、Microsoft、Google、Red HatなどのIDを採番できる事ができるベンダー（CVE Numbering Authority (CNA)）がそれぞれの製品の個別の脆弱性にIDを割り当てていきます。具体的な組織図は下記の様になっています。

組織図の説明は下記の様になります。

CVE BoardがCVE Programを運用して戦略を決定します。事務局 (現在はMITRE社) はインフラの維持を行います。CVE Boardと同列にCVE Working Group（特定の作業を行うWGでCVE Boardにより作成される）があります。
CVE-IDの割り当てとCVEレコードの公開は、CVE Boardによって定義されたツリー内で行われます。ツリー内では、TL-Root がCVE Boardに直接報告し、ツリー内のRoot/CNAを管理しています。現在CVE Programには、CISAとMITREの 2 つのTL-Rootがあります。
ツリー内はRootによって管理され、実際の運用 (ID の割り当てやレコードの公開など)はCNAによって実行されます。
MITRE TL-Rootツリーには、4 つのRoot(Google・INCIBE・JPCERT/CC・Red Hat)と複数の CNA、1つのCNA-LRが含まれています。
ADPは、CNAによって公開されたCVEレコードに関連情報 (リスクスコア・リファレンス・脆弱性の特性・翻訳など) を追加しています。

下記は上の説明で登場する用語を用語集から抜き取ったものです。

CVE Program
- 公開された脆弱性を特定してカタログ化する、国際的なコミュニティ活動による取り組み。
CVE Board
- CVE Programの戦略的な方向性やガバナンス・運用方法・ポリシー・ルールを担当する組織。
CVE Working Group
- CVEのステークホルダーや一般の人々と適宜協力して目的を達成するために、CVE Boardによって作成および管理される組織。
Secretariat(事務局)
- CVE Programによってインフラストラクチャを開発・提供・維持し、CVE BoardやCVE Working Group、その他の管理およびロジスティックスサポートを提供する組織。現在はMITREが担っています。
Authorized Data Publisher (ADP)
- CNAによって公開された CVEレコードのコンテンツに関連情報 (リスクスコア・リファレンス・脆弱性の特性・翻訳など) を追加する、特定のスコープと責任を持つ認定エンティティ。現在はCISA(Cybersecurity and Infrastructure Security Agency)が担っています。
Top-Level Root(TL-Root)
- 指定された階層内の最高のRoot。指定された階層内のRootおよびCNAのガバナンスと管理を担当します。現在はCISA(Cybersecurity and Infrastructure Security Agency)とMITREの２つのTL-Rootが存在します。
Root
- CVE Programで承認された組織であり、階層内でのCNA・CNA-LR・別のRootの勧誘やトレーニング、管理を担当します。
CNA
- 定期的にCVE-IDを割り当て、対応するCVEレコードを公開するための範囲と責任を持つ、承認された存在です。
CVE Numbering Authority of Last Resort (CNA-LR)
- 他のCNAのスコープでカバーされていない脆弱性について、Rootのスコープ内でCVE-IDを割り当て、対応するCVEレコードを公開することをルートから承認されたCNA。現在はMITREとCISA Industrial Control Systems (CISA ICS)の２つのCNA-LRが存在します。
CVE-ID
- 公開された脆弱性を識別するユニークな英数字の文字列。
CVEレコード(CVE Record)
- CVE-IDに関連付けられた脆弱性に関する構造体データです（CVE-IDがユニークな番号になっているため、これを参照してレコード内を検索します）。CVEレコードはCNAによって作成されます。CVEレコードには次の３つの状態があります。
  - Reserved: CVE-IDの初期状態で、CNAがこのCVE-IDを予約している、という意味になります。
  - Published: CNAがそのCVE-IDとデータを結びつけて公開した状態になります。
  - Rejected: そのCVE-IDに結びついているCVEレコードは使用できなくなります。一般的にはレコード内容が重複していた場合にユニークに保つために重複しているものがRejectedになります。RejectedのCVEレコードのIDは残っており、ユーザーがCVE-IDを参照するとそのCVE-IDのCVEレコードが無効であることが確認できます。