CVE

Příklady z praxe

1. 01

   Log4Shell v podnikové Javě

   Zranitelnost knihovny Log4j vedená jako CVE-2021-44228 umožňovala vzdálené spuštění kódu přes zalogovaný řetězec. Provozní týmy podle tohoto jediného čísla dohledávaly zasažené aplikace napříč stovkami služeb, protože stejný identifikátor uváděly bulletiny všech výrobců i výstupy skenerů. Ukázalo se přitom, že knihovna byla často tranzitivní závislostí, o které nikdo nevěděl.

2. 02

   Audit závislostí v Node.js projektu

   Příkaz npm audit porovná strom závislostí proti databázi hlášení a u každého nálezu uvede identifikátor CVE spolu se závažností a verzí, ve které je oprava. Výstup je vstup pro rozhodování, ne verdikt: u vývojových závislostí bez přístupu do produkce bývá priorita nižší než u knihovny obsluhující HTTP požadavky.

   $ npm audit
   
   lodash  <4.17.21
   Severity: high
   Command Injection - CVE-2021-23337
   fix available via `npm audit fix`

Časté omyly

MýtusKdyž má knihovna CVE, je nebezpečná a musíme ji okamžitě vyhodit.

Ve skutečnostiZáznam CVE popisuje chybu v konkrétní verzi a často jen v určité konfiguraci nebo funkci. Pokud vaše aplikace zranitelnou cestu vůbec nevolá, může být reálné riziko nulové. Rozhodující je aktualizace na opravenou verzi, ne panika kolem počtu nálezů.

MýtusCVE číslo přiděluje jedna centrální autorita, která chybu ověřila.

Ve skutečnostiČísla přiděluje rozsáhlá síť autorit CNA, mezi nimi i samotní výrobci pro své produkty. Kvalita a hloubka popisu se proto liší a některé záznamy jsou sporné nebo duplicitní.

MýtusČíslo v CVE-2024-XXXXX znamená, že chyba byla objevena v roce 2024.

Ve skutečnostiRok v identifikátoru označuje, kdy bylo číslo rezervováno. Zveřejnění i samotný objev mohou spadat do jiného roku, u dlouho embargovaných chyb klidně o rok dříve nebo později.

Časté dotazy

Kde si ověřím detaily konkrétního CVE?

Detaily ke konkrétnímu CVE najdete ve třech na sobě nezávislých vrstvách. Základní záznam s popisem a odkazy vede program CVE. Obohacená data, tedy skóre CVSS, zařazení pod CWE a seznam dotčených verzí, publikuje databáze NVD amerického institutu NIST. Nejspolehlivější informaci o dopadu na váš konkrétní systém ale vydává výrobce nebo správce distribuce, protože ten ví, zda a jak byla zranitelná část kódu do jeho balíčku zahrnuta a v jaké verzi je oprava.

Jak se CVE liší od CVSS skóre?

CVE je identifikátor konkrétní zranitelnosti, tedy jméno problému. CVSS je metodika, která témuž problému přiřadí číselné skóre závažnosti od 0 do 10 na základě vektoru útoku, potřebných oprávnění a dopadu na důvěrnost, integritu a dostupnost. Jeden záznam CVE tak může mít několik různých CVSS skóre podle toho, kdo je počítal: jinak chybu ohodnotí výrobce, jinak NVD. Pro prioritizaci záplat je proto vhodné doplnit ještě informaci o reálném zneužívání.

Může firma požádat o přidělení CVE pro chybu, kterou našla?

Chybu nalezenou v cizím produktu lze nahlásit buď přímo výrobci, pokud je registrovanou autoritou CNA, nebo prostřednictvím obecné autority programu CVE. Součástí je zpravidla koordinované zveřejnění: nálezce dá výrobci čas na opravu a identifikátor se zveřejní společně se záplatou. Vlastní open source projekt se může stát autoritou CNA a přidělovat čísla pro svůj kód sám, což je běžné u větších projektů a distribucí.

Co znamená, že je CVE ve stavu Reserved nebo Rejected?

Stav Reserved znamená, že číslo bylo přiděleno, ale popis zatím není veřejný. Bývá to během embarga před vydáním opravy, takže na identifikátor můžete narazit v changelogu dřív, než k němu existuje detail. Stav Rejected označuje záznam, který byl stažen: jde například o duplicitu jiného CVE, o chybu, která se neprokázala, nebo o problém, jenž nakonec nebyl vyhodnocen jako zranitelnost. Rejected záznamy se nemažou, aby staré odkazy zůstaly dohledatelné.

Znamená nulový počet CVE, že je knihovna bezpečná?

Nulový počet nalezených CVE u knihovny neříká nic o její kvalitě. Znamená jen, že u ní nikdo nepožádal o přidělení identifikátoru, což je u malých a málo zkoumaných projektů běžné. Paradoxně platí, že hodně používané a intenzivně auditované knihovny mají záznamů více, protože se jim někdo systematicky věnuje. Bezpečnost závislosti se posuzuje spíše podle aktivity údržby, rychlosti reakce na hlášení a existence bezpečnostní politiky projektu.

Zdroje

1. National Vulnerability Database(otevře se v novém okně)NIST
2. OWASP Dependency-Check(otevře se v novém okně)OWASP Foundation
3. Common Vulnerabilities and Exposures(otevře se v novém okně)Wikipedia

Související pojmy

• ZranitelnostZranitelnost je slabé místo v softwaru, hardwaru, konfiguraci nebo procesu, které může útočník zneužít k porušení důvěrnosti, integrity nebo dostupnosti systému. Sama o sobě ještě není útokem: riziko vzniká až kombinací zranitelnosti, dostupné cesty ke zneužití, hodnoty ohrožených dat a pravděpodobnosti, že někdo slabinu využije.
• Patch managementPatch management je řízený proces vyhledávání, testování, nasazování a ověřování opravných balíčků softwaru napříč servery, aplikacemi, knihovnami i koncovými zařízeními. Zahrnuje evidenci majetku, hodnocení závažnosti zranitelností, stanovení lhůt pro nasazení, testovací prostředí, plán návratu zpět a doklad o tom, že oprava skutečně doběhla všude.
• Penetrační testPenetrační test je řízené bezpečnostní prověření systému, aplikace nebo sítě, při němž tester napodobuje postup útočníka v předem schváleném rozsahu. Cílem je najít zneužitelné slabiny, prakticky doložit jejich dopad a dodat doporučení, podle nichž tým riziko opraví, omezí nebo vědomě přijme.
• Zero-day zranitelnostZero-day zranitelnost je bezpečnostní chyba v softwaru nebo hardwaru, pro kterou v okamžiku zneužití neexistuje veřejně dostupná oprava ani spolehlivá signatura. Útočník tak může využít náskok před výrobcem, správci i bezpečnostními nástroji; riziko trvá hlavně do vydání patche, obchvatného opatření nebo vypnutí zasažené funkce.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• ACIDACID je sada čtyř vlastností databázové transakce: atomicity, consistency, isolation a durability. Zaručuje, že skupina zápisů proběhne jako jeden celek, neporuší definovaná pravidla databáze, nebude se nebezpečně míchat s jinými transakcemi a po potvrzení přežije pád systému, například při převodu peněz.
• Adaptive IconAdaptivní ikona je formát ikony aplikace na Androidu, který se místo jedné hotové bitmapy skládá z oddělených vrstev: pozadí a popředí. Systém výsledný tvar sám ořízne podle masky výrobce zařízení a může vrstvy animovat nebo přebarvit. Vývojář tak dodá jeden zdroj a launcher z něj vytvoří kruh, čtverec i squircle.
• Adresa v pamětiAdresa v paměti je číslo, kterým procesor jednoznačně označuje konkrétní buňku operační paměti, obvykle jeden bajt. Program pomocí adresy říká, odkud má data načíst nebo kam je zapsat. Adresy tvoří souvislý číselný rozsah, jehož velikost určuje šířka adresní sběrnice a architektura, typicky 32 nebo 64 bitů.