CVE — Common Vulnerabilities and Exposures
CVE (Common Vulnerabilities and Exposures) je celosvetovo uznávaný systém na identifikáciu a pomenúvanie zraniteľností v oblasti kybernetickej bezpečnosti. Každá zraniteľnosť dostane jedinečné CVE-ID (napr. CVE-2024-3094), vďaka ktorému môžu bezpečnostné tímy, výrobcovia a regulačné orgány jednoznačne odkazovať na tú istú zraniteľnosť. Podľa nariadenia EU Cyber Resilience Act je monitorovanie CVE nevyhnutné na splnenie povinnosti včasného varovania do 24 hodín pri aktívne zneužívaných zraniteľnostiach, podávaného prostredníctvom jednotnej oznamovacej platformy, ktorú prevádzkuje agentúra ENISA.
Kľúčové fakty
| Údaj | Informácia |
|---|---|
| Celý názov | Common Vulnerabilities and Exposures |
| Správca | MITRE Corporation (USA, financovaná agentúrou CISA) |
| Formát ID | CVE-YYYY-NNNNN (rok + poradové číslo) |
| Celkový počet zverejnených CVE | Viac ako 300 000 (stav začiatkom roka 2026) |
| Nové CVE za rok | ~40 000 v roku 2024, ~48 000 v roku 2025 (tempo sa zrýchľuje) |
| Verejná databáza | cve.org |
| Databáza s obohatenými údajmi | NVD (National Vulnerability Database) — dopĺňa skóre CVSS a zhody CPE |
| Ekvivalent v EÚ | ENISA spravuje európsku databázu zraniteľností EU Vulnerability Database (vyžaduje ju smernica NIS2) |
Ako CVE fungujú
Životný cyklus zraniteľnosti
+----------------------------------------------------------+
| 1. OBJAVENIE |
| Výskumník / dodávateľ / útočník nájde zraniteľnosť |
+----------------------------------------------------------+
↓
+----------------------------------------------------------+
| 2. PRIDELENIE CVE |
| CNA (CVE Numbering Authority) pridelí CVE-ID |
| Rezervované, ale ešte nezverejnené |
+----------------------------------------------------------+
↓
+----------------------------------------------------------+
| 3. PUBLIKÁCIA |
| CVE záznam publikovaný na cve.org |
| Obsahuje: popis, referencie, ovplyvnené produkty |
+----------------------------------------------------------+
↓
+----------------------------------------------------------+
| 4. OBOHATENIE NVD |
| NVD pridá: CVSS skóre, CPE zhody, CWE kategóriu |
| Objaví sa v automatizovaných skenovacích nástrojoch |
+----------------------------------------------------------+
↓
+----------------------------------------------------------+
| 5. NÁPRAVA |
| Dodávateľ vydá záplatu / aktualizáciu firmvéru cez OTA |
| SBOM produktu aktualizovaný na opravené verzie |
+----------------------------------------------------------+Hodnotenie závažnosti CVSS
Každé CVE dostane skóre CVSS (Common Vulnerability Scoring System), ktoré vyjadruje závažnosť:
| Skóre CVSS | Závažnosť | Príklad dopadu |
|---|---|---|
| 9,0–10,0 | Kritická | Vzdialené spustenie kódu, úplné prevzatie kontroly nad zariadením |
| 7,0–8,9 | Vysoká | Eskalácia oprávnení, obídenie autentifikácie |
| 4,0–6,9 | Stredná | Vyzradenie informácií, odopretie služby |
| 0,1–3,9 | Nízka | Menší únik informácií, teoretický exploit |
Prečo sú CVE dôležité pre výrobcov hardvéru
Oznamovanie zraniteľností podľa CRA
CRA vytvára priame prepojenie medzi monitorovaním CVE a právnymi povinnosťami:
| Požiadavka CRA | Súvislosť s CVE |
|---|---|
| Včasné varovanie do 24 hodín (koordinátorskej jednotke CSIRT a agentúre ENISA) | Spúšťa sa, keď je zraniteľnosť vo vašom výrobku aktívne zneužívaná |
| Žiadne známe zneužiteľné zraniteľnosti pri sprístupnení na trhu | CVE zodpovedajúce komponentom vášho SBOM sa musia posúdiť; tie, ktoré sú vo výrobku zneužiteľné, musia byť opravené skôr, než sa výrobok sprístupní na trhu |
| Riešenie zraniteľností počas obdobia podpory (najmenej 5 rokov, ak sa neočakáva, že sa výrobok bude používať kratšie) | Monitorovanie CVE musí pokračovať počas celého obdobia podpory |
| Bezpečnostné aktualizácie (napríklad cez OTA) | Opravy zneužiteľných zraniteľností sa musia do nasadených zariadení dostať bezodkladne |
Prepojenie SBOM–CVE
SBOM vášho výrobku je kľúčom k automatizovanému monitorovaniu CVE:
| Komponent SBOM | Príklad rizika CVE |
|---|---|
| FreeRTOS kernel 10.4.2 | CVE-2021-31571 — celočíselné pretečenie pri vytváraní frontu |
| mbedTLS 2.28.0 | CVE-2023-43615 — čítanie za hranicou vyrovnávacej pamäte (buffer overread) v šifrovacích sadách TLS s prúdovou šifrou |
| lwIP 2.1.3 | CVE-2026-119053 — čítanie mimo hraníc pamäte (out-of-bounds read) v agentovi SNMP |
| U-Boot 2023.04 | CVE-2024-57256 — prepísanie pamäte prostredníctvom špeciálne upraveného súborového systému ext4 |
| Linux kernel 5.15 | Stovky CVE ročne — priebežné monitorovanie je nevyhnutné |
Automatizovaný proces (pipeline): SBOM → párovanie CPE → vyhľadanie v databáze CVE → filtrovanie podľa závažnosti → príprava oznámenia podľa CRA → nasadenie záplaty cez OTA. Práve toto poskytuje naša služba monitorovania SBOM.
Monitorovanie CVE pri embedded výrobkoch
Výzvy špecifické pre embedded/IoT
| Výzva | Opis |
|---|---|
| Dlhé cykly nasadenia | Zariadenia IoT sú nasadené 10–15 rokov; CVE sa časom hromadia |
| Obmedzené zdroje | Zariadeniam môže chýbať šírka pásma/úložisko na časté záplaty |
| Zaostávanie komponentov | Dodávatelia embedded systémov často používajú staršie verzie komponentov s otvoreným zdrojovým kódom (open source) |
| Vlastný BSP | Balíky BSP (Board Support Package) od výrobcov čipov môžu obsahovať nesledované komponenty |
| Vnorené závislosti | Tranzitívne závislosti (závislosti závislostí) v SBOM často chýbajú |
| Žiadny centrálny aktualizačný mechanizmus | Na rozdiel od mobilných operačných systémov si každý výrobca spravuje vlastný proces doručovania aktualizácií |
Odporúčaný postup monitorovania
- Vygenerujte SBOM pri zostavovaní (formát SPDX alebo CycloneDX).
- Priraďte komponentom identifikátory CPE na porovnávanie s databázou NVD.
- Priebežné skenovanie CVE — automatizované denné kontroly alebo kontroly v reálnom čase voči dátovým zdrojom NVD/EPSS.
- Triedenie podľa rizika — stanovte priority podľa skóre CVSS — EPSS (Exploit Prediction Scoring System) — vystavenia výrobku.
- Záplata alebo zmiernenie — doručte opravy prostredníctvom aktualizácie OTA alebo zverejnite pokyny na zmiernenie rizika.
- Oznámte to prostredníctvom jednotnej oznamovacej platformy agentúry ENISA — pri aktívnom zneužívaní spustite včasné varovanie do 24 hodín, oznámenie do 72 hodín a záverečnú správu.
Súvisiace pojmy
- SBOM — Súpis komponentov, ktorý umožňuje automatizované párovanie s CVE.
- ENISA — Agentúra EÚ, ktorá prevádzkuje jednotnú oznamovaciu platformu pre oznámenia o zraniteľnostiach podľa CRA.
- CRA — Nariadenie, ktoré vyžaduje riešenie zraniteľností; monitorovanie CVE je pri ňom základnou praxou.
- Aktualizácia OTA — Mechanizmus doručovania bezpečnostných záplat vyvolaných CVE.
Oficiálne referencie
- CVE Program — MITRE Corporation — MITRE (databáza CVE a autorita prideľujúca čísla)
- National Vulnerability Database (NVD) — NIST (obohatené údaje o CVE so skóre CVSS)