CVE（共通脆弱性識別子） とは？

同じ脆弱性を、みんなが同じ番号で話せるよ。ベンダーの更新情報、調査報告、セキュリティ製品が別々の名前で説明していても、CVE IDが同じなら照合の手掛かりになる。番号に対応するCVE Recordには、問題の説明や参考資料が載るんだ。

発見順ではないよ。CVE IDはCVE、年、4桁以上の番号という形。年は公開・レコードの初回公開・番号の予約の年を基準に割り当てるので、発見年とは限らないんだ。後ろの番号が大きいほど危険、という意味もないよ。図の番号は形式を説明する例だね。

CVEプログラムが認めたCNAという組織だよ。製品ベンダー、研究機関、CERTなどが、それぞれの担当範囲で番号を割り当て、レコードを公開する。MITREだけが全件の番号を決める仕組みではないし、あらゆる脆弱性に必ず番号があるわけでもないんだ。

CVEは問題を識別する番号、CVSSは脆弱性の深刻度を評価する仕組みだよ。CVSSのスコアは0.0〜10.0。NVDはCVEの情報を受け取り、分析情報などを補う別のプログラムなんだ。識別番号と評価を分けると、読みやすくなるね。

まず自分の製品とバージョンが対象か、ベンダーの案内で確認しよう。実際に悪用されているか、外部から届くか、回避策があるかなども対応の判断に関わる。CVSSの点数だけで優先度は決まらないよ。RESERVEDは詳細未公開の状態で、REJECTEDならその番号は無効として扱われるんだ。