CVE
siglasegurançagovernança e risco
Significa: Common Vulnerabilities and Exposures
Uma entrada de catálogo público que identifica de forma única uma vulnerabilidade conhecida específica.
Um identificador CVE (como CVE-2021-44228) dá a todos um nome comum para uma falha, para que boletins, varreduras e correções se refiram à mesma coisa sem ambiguidade. É um identificador, não uma severidade; isso é o que o CVSS acrescenta.
Um identificador CVE é um nome único para uma vulnerabilidade específica, e nomear é todo o seu trabalho. Antes dele, dois scanners e três fabricantes descreviam a mesma falha de quatro jeitos diferentes e ninguém sabia dizer se falavam de um problema ou de vários.
O que ele não carrega é severidade, explorabilidade ou aplicabilidade, e é por isso que um número CVE isolado é base ruim para uma decisão. O sistema também sofreu com volume, com dezenas de milhares atribuídos por ano e um acúmulo crescente no enriquecimento, então a existência de um identificador não garante que a análise por trás dele esteja completa. É vocabulário compartilhado, e não avaliação, e tratar a contagem de CVEs que afetam um produto como medida de qualidade inverte o incentivo.
Também conhecido como: cve, common vulnerabilities and exposures