CVE là gì?
CVE (Common Vulnerabilities and Exposures) – Danh sách chung các lỗ hổng và điểm yếu bảo mật được công khai. Mỗi lỗ hổng được gán một mã định danh duy nhất (CVE ID) theo cấu trúc: CVE-YYYY-NNNN (VD: CVE-2021-44228 - Log4Shell).
Cấu trúc CVE ID
- CVE: Tiền tố cố định.
- YYYY: Năm công bố/đăng ký.
- NNNN: Số thứ tự (4-7 chữ số).
Ví dụ: CVE-1999-0067, CVE-2014-12345, CVE-2023-1234567.
Mục đích của CVE
- Chuẩn hóa: Ngôn ngữ chung để các bên (nhà cung cấp, nhà nghiên cứu, người dùng) nói về cùng một lỗ hổng.
- Trao đổi thông tin: Cơ sở dữ liệu lỗ hổng (NVD, Vulners), scanner (Nessus, OpenVAS), SIEM, patch management đều dùng CVE ID.
- Đánh giá rủi ro: Cơ sở cho CVSS (Common Vulnerability Scoring System) chấm điểm nghiêm trọng.
Ví dụ nổi tiếng
| CVE ID | Tên gọi | Mô tả | CVSS |
|---|---|---|---|
| CVE-2021-44228 | Log4Shell | RCE trong Apache Log4j 2, ảnh hưởng hàng triệu server Java | 10.0 (Critical) |
| CVE-2020-1472 | Zerologon | Lỗ hổng Netlogon cho phép leo thang đặc quyền trên Domain Controller | 10.0 |
| CVE-2017-0144 | EternalBlue | Lỗ hổng SMBv1 được NSA khai thác, dùng cho WannaCry, NotPetya | 9.8 |
| CVE-2014-0160 | Heartbleed | Rò rỉ bộ nhớ OpenSSL, tiết lộ khóa riêng, session cookie | 7.5 |
CVE hoạt động như thế nào?
- Nhà nghiên cứu phát hiện lỗ hổng → báo cáo cho MITRE (tổ chức điều phối CVE) hoặc CNA (CVE Numbering Authority).
- MITRE/CNA xác thực, cấp CVE ID, đăng tải mô tả, tham chiếu.
- NVD (National Vulnerability Database) làm phong phú thêm điểm CVSS, CWE, CPE (cấu hình sản phẩm bị ảnh hưởng).
- Công cụ quét, nhà cung cấp bản vá, đội SOC sử dụng CVE ID để đồng bộ thông tin.
Tất cả lỗ hổng đều có CVE?
Không. Nghiên cứu chỉ ra hàng nghìn lỗ hổng mỗi năm không được cấp CVE ID (do không báo cáo công khai, vendor không hợp tác, hoặc chưa được xác thực). Do đó, không chỉ dựa vào CVE mà cần threat intelligence, pen test, bug bounty.
CVE Compliance (Tuân thủ CVE)
Sản phẩm/dịch vụ "CVE Compatible" cam kết: sử dụng CVE ID trong báo cáo, cho phép tìm kiếm theo CVE, ánh xạ CVE sang rule chữ ký/bản vá của họ. Ví dụ: Nessus, Qualys, Rapid7, Microsoft, Cisco, Red Hat.
Tài nguyên tra cứu
- CVE MITRE (nguồn gốc)
- NVD (National Vulnerability Database) - có CVSS, CWE, CPE, biểu đồ.
- Vulners - tìm kiếm đa nguồn, có API.