CVE

CVE — Common Vulnerabilities and Exposures

CVE (Common Vulnerabilities and Exposures) è un sistema riconosciuto a livello globale per l’identificazione e la denominazione delle vulnerabilità di cibersicurezza. A ciascuna vulnerabilità viene assegnato un CVE-ID univoco (ad es. CVE-2024-3094) che consente ai team di sicurezza, ai fabbricanti e alle autorità di regolamentazione di fare riferimento in modo inequivocabile alla stessa vulnerabilità. Ai sensi del Cyber Resilience Act dell’UE, il monitoraggio dei CVE è essenziale per adempiere all’obbligo di preallarme entro 24 ore per le vulnerabilità attivamente sfruttate, da trasmettere tramite la piattaforma unica di segnalazione gestita dall’ENISA.

Dati principali

Come funzionano i CVE

Ciclo di vita di una vulnerabilità

┌────────────────────────────────────────────────────────────────────────┐
│  1. SCOPERTA                                                           │
│  Un ricercatore, un fornitore o un attaccante scopre la vulnerabilità  │
└────────────────────────────────────────────────────────────────────────┘
                                    ↓
┌────────────────────────────────────────────────────────────────────────┐
│  2. ASSEGNAZIONE DEL CVE                                               │
│  La CNA (CVE Numbering Authority) assegna un CVE-ID                    │
│  Il codice è riservato, ma non ancora pubblico                         │
└────────────────────────────────────────────────────────────────────────┘
                                    ↓
┌────────────────────────────────────────────────────────────────────────┐
│  3. PUBBLICAZIONE                                                      │
│  La voce CVE viene pubblicata su cve.org                               │
│  Include descrizione, riferimenti e prodotti interessati               │
└────────────────────────────────────────────────────────────────────────┘
                                    ↓
┌────────────────────────────────────────────────────────────────────────┐
│  4. INTEGRAZIONE DEI DATI NVD                                          │
│  La NVD aggiunge punteggio CVSS, corrispondenze CPE e categoria CWE    │
│  La vulnerabilità compare negli strumenti di scansione automatica      │
└────────────────────────────────────────────────────────────────────────┘
                                    ↓
┌────────────────────────────────────────────────────────────────────────┐
│  5. CORREZIONE                                                         │
│  Il fornitore rilascia una patch o un aggiornamento firmware OTA       │
│  La SBOM del prodotto viene aggiornata con le versioni corrette        │
└────────────────────────────────────────────────────────────────────────┘

Punteggio di gravità CVSS

A ogni CVE viene assegnato un punteggio CVSS (Common Vulnerability Scoring System) che ne indica la gravità:

Perché i CVE sono importanti per i fabbricanti di hardware

Segnalazione delle vulnerabilità ai sensi del CRA

Il CRA crea un collegamento diretto tra il monitoraggio dei CVE e gli obblighi di legge:

Il collegamento SBOM–CVE

L’SBOM del vostro prodotto è la chiave per il monitoraggio automatizzato dei CVE:

La pipeline automatizzata: SBOM → corrispondenza CPE → consultazione del database CVE → filtraggio per gravità → redazione della notifica CRA → distribuzione della patch OTA. Questo è ciò che fornisce il nostro servizio di monitoraggio SBOM.

Monitoraggio dei CVE per i prodotti embedded

Sfide specifiche dell’embedded/IoT

Flusso di lavoro di monitoraggio consigliato

1. Generare la SBOM in fase di build (formato SPDX o CycloneDX).
2. Mappare i componenti agli identificatori CPE per la corrispondenza con il database NVD.
3. Scansione continua dei CVE — controlli automatizzati giornalieri o in tempo reale rispetto ai feed NVD/EPSS.
4. Triage basato sul rischio — assegnare la priorità in base al punteggio CVSS, all’EPSS (Exploit Prediction Scoring System) e all’esposizione del prodotto.
5. Correggere o mitigare — distribuire le correzioni tramite aggiornamento OTA o pubblicare indicazioni di mitigazione.
6. Segnalare tramite la piattaforma unica di segnalazione dell’ENISA — in caso di sfruttamento attivo, attivare il preallarme entro 24 ore, la notifica entro 72 ore e il rapporto finale.

Termini correlati

• SBOM — L’inventario dei componenti che consente la corrispondenza automatizzata dei CVE.
• ENISA — L’agenzia dell’UE che gestisce la piattaforma unica di segnalazione per le notifiche di vulnerabilità del CRA.
• CRA — Il regolamento che richiede la gestione delle vulnerabilità, per la quale il monitoraggio dei CVE è una pratica fondamentale.
• Aggiornamento OTA — Il meccanismo di distribuzione delle patch di sicurezza attivate dai CVE.

Riferimenti ufficiali

• CVE Program — MITRE Corporation — MITRE (database CVE e autorità di numerazione)
• National Vulnerability Database (NVD) — NIST (dati CVE arricchiti con punteggi CVSS)