CVE（Common Vulnerability Exposure）について

　この記事では、SCAPの構成要素として紹介したCVE(Common Vulnerability Exposure)について、管理団体の話やAPIの話などを中心に解説していきます。

実践的セキュリティスクール「セキュ塾」で、この記事の執筆者でもあり「OSINT実践ガイド」の著者でもある「面和毅」が主講師を務める「脅威インテリジェンス育成コース」の11月2日より開講決定！こちらから「KADOKAWAの一件の脅威インテリジェンスレポート」を閲覧することもできます。

詳細はこちらから！

関係する記事
CVE(Common Vulnerability Exposure)とは
CVE Boardと組織の構造
CVEレコードの参照(cve.org)
- CVE-2024-6387(通称「regreSSHion」)の確認
CVE情報の取得方法（API）
- APIを使用したCVE情報取得のサンプル
CVEの取得方法（DB）
CVEの更新・登録情報（X: 旧Twitter）
参考情報
- 関連記事:

関係する記事

CVE(Common Vulnerability Exposure)とは

　脆弱性には一意のCVE（Common Vulnerability Exposure）のIDが割り当てられます。CVE-IDの形式は「CVE-”年(YYYY)”-”(番号)”」という形で割り振られています。

　これらのCVE-IDはCNAがユニークな番号で発行し、「CVE Board」が中心になって管理しています。

CVE Boardと組織の構造

　CVE-IDは、米国の非営利団体であるMITREが事務局となっている「CVE Board」が中心になって管理されています。IDの付与はTopレベル RootがMITREと米国CISA（Cybersecurity and Infrastructure Security Agency ): アメリカ合衆国サイバーセキュリティ・社会基盤安全保障庁」となるツリー構造の組織で行われ、Microsoft、Google、Red HatなどのIDを採番できる事ができるベンダー（CVE Numbering Authority (CNA)）がそれぞれの製品の個別の脆弱性にIDを割り当てていきます。具体的な組織図は下記の様になっています。

組織図の説明は下記の様になります。

CVE BoardがCVE Programを運用して戦略を決定します。事務局 (現在はMITRE社) はインフラの維持を行います。CVE Boardと同列にCVE Working Group（特定の作業を行うWGでCVE Boardにより作成される）があります。
CVE-IDの割り当てとCVEレコードの公開は、CVE Boardによって定義されたツリー内で行われます。ツリー内では、TL-Root がCVE Boardに直接報告し、ツリー内のRoot/CNAを管理しています。現在CVE Programには、CISAとMITREの 2 つのTL-Rootがあります。
ツリー内はRootによって管理され、実際の運用 (ID の割り当てやレコードの公開など)はCNAによって実行されます。
MITRE TL-Rootツリーには、4 つのRoot(Google・INCIBE・JPCERT/CC・Red Hat)と複数の CNA、1つのCNA-LRが含まれています。
ADPは、CNAによって公開されたCVEレコードに関連情報 (リスクスコア・リファレンス・脆弱性の特性・翻訳など) を追加しています。

下記は上の説明で登場する用語を用語集から抜き取ったものです。

CVE Program
- 公開された脆弱性を特定してカタログ化する、国際的なコミュニティ活動による取り組み。
CVE Board
- CVE Programの戦略的な方向性やガバナンス・運用方法・ポリシー・ルールを担当する組織。
CVE Working Group
- CVEのステークホルダーや一般の人々と適宜協力して目的を達成するために、CVE Boardによって作成および管理される組織。
Secretariat(事務局)
- CVE Programによってインフラストラクチャを開発・提供・維持し、CVE BoardやCVE Working Group、その他の管理およびロジスティックスサポートを提供する組織。現在はMITREが担っています。
Authorized Data Publisher (ADP)
- CNAによって公開された CVEレコードのコンテンツに関連情報 (リスクスコア・リファレンス・脆弱性の特性・翻訳など) を追加する、特定のスコープと責任を持つ認定エンティティ。現在はCISA(Cybersecurity and Infrastructure Security Agency)が担っています。
Top-Level Root(TL-Root)
- 指定された階層内の最高のRoot。指定された階層内のRootおよびCNAのガバナンスと管理を担当します。現在はCISA(Cybersecurity and Infrastructure Security Agency)とMITREの２つのTL-Rootが存在します。
Root
- CVE Programで承認された組織であり、階層内でのCNA・CNA-LR・別のRootの勧誘やトレーニング、管理を担当します。
CNA
- 定期的にCVE-IDを割り当て、対応するCVEレコードを公開するための範囲と責任を持つ、承認された存在です。
CVE Numbering Authority of Last Resort (CNA-LR)
- 他のCNAのスコープでカバーされていない脆弱性について、Rootのスコープ内でCVE-IDを割り当て、対応するCVEレコードを公開することをルートから承認されたCNA。現在はMITREとCISA Industrial Control Systems (CISA ICS)の２つのCNA-LRが存在します。
CVE-ID
- 公開された脆弱性を識別するユニークな英数字の文字列。
CVEレコード(CVE Record)
- CVE-IDに関連付けられた脆弱性に関する構造体データです（CVE-IDがユニークな番号になっているため、これを参照してレコード内を検索します）。CVEレコードはCNAによって作成されます。CVEレコードには次の３つの状態があります。
  - Reserved: CVE-IDの初期状態で、CNAがこのCVE-IDを予約している、という意味になります。
  - Published: CNAがそのCVE-IDとデータを結びつけて公開した状態になります。
  - Rejected: そのCVE-IDに結びついているCVEレコードは使用できなくなります。一般的にはレコード内容が重複していた場合にユニークに保つために重複しているものがRejectedになります。RejectedのCVEレコードのIDは残っており、ユーザーがCVE-IDを参照するとそのCVE-IDのCVEレコードが無効であることが確認できます。