CVE-, CWE- und CVSS-Bewertung

CVE (Common Vulnerabilities and Exposures) ist eine standardisierte Kennung für öffentlich bekannte Schwachstellen. Jede CVE hat eine eindeutige ID, beispielsweise CVE-2021-44228, eine Beschreibung sowie Verweise auf Patches und Sicherheitshinweise.

CVE-IDs folgen dem Format CVE-YEAR-NUMBER. Der Nummernteil enthält keine führenden Nullen und kann aus mindestens vier Ziffern bestehen. MITRE vergibt CVE-IDs; die NVD ergänzt sie um Schweregradbewertungen.

CWE (Common Weakness Enumeration) klassifiziert die Schwachstellenart, die einer Ursache zugrunde liegt, nicht die konkrete Instanz. CVEs werden CWEs zugeordnet – wenn Sie die Schwachstellenart verstehen, können Sie sicheren Code schreiben und ganze Klassen von Schwachstellen verhindern.

CVSS (Common Vulnerability Scoring System) stellt eine numerische Bewertung von 0,0 bis 10,0 bereit, die den Schweregrad widerspiegelt. CVSS v3.1 ist der aktuelle Standard und umfasst einen Basiswert, einen zeitbezogenen Wert und einen Umgebungswert.

Metriken zur Ausnutzbarkeit messen, wie einfach eine Schwachstelle angegriffen werden kann: Angriffsvektor (Netzwerk/benachbart/lokal/physisch), Angriffskomplexität, erforderliche Berechtigungen und Benutzerinteraktion.

Auswirkungsmetriken messen die Folgen einer erfolgreichen Ausnutzung: Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit – jeweils mit der Bewertung None/Low/High.

Der vollständige CVSS-Vektor codiert alle Metriken in einer kompakten Zeichenfolge. Mit Tools wie dem CVSS-Rechner der NVD können Sie Bewertungen dekodieren und an Ihre Umgebung anpassen.

Die National Vulnerability Database (nvd.nist.gov) ist die maßgebliche Quelle. Suchen Sie nach CVE-ID, Anbieter, Produkt oder CWE. Exploit-Datenbanken wie exploit-db.com verknüpfen CVEs mit funktionierenden Exploits.

EPSS (Exploit Prediction Scoring System) prognostiziert die Wahrscheinlichkeit, dass eine CVE innerhalb von 30 Tagen in freier Wildbahn ausgenutzt wird. Hoher CVSS-Wert plus hoher EPSS-Wert bedeutet: sofort patchen.

Nicht jede kritische CVE ist für Ihre Umgebung gleich gefährlich. Priorisieren Sie anhand folgender Fragen: Wird die anfällige Software ausgeführt? Ist der Angriffsvektor relevant? Gibt es einen öffentlichen Exploit? Welche geschäftlichen Auswirkungen sind zu erwarten?

Forschende entdecken Fehler und melden sie, häufig vertraulich. Anbieter veröffentlichen Patches, anschließend werden CVEs publiziert. Der Zeitraum zwischen der Veröffentlichung eines Patches und einer Ausnutzung, die sogenannte Patch-Lücke, beträgt oft nur wenige Tage – die Geschwindigkeit des Patch-Managements ist entscheidend.

CVEs identifizieren konkrete Schwachstellen, CWEs klassifizieren die zugrunde liegende Schwachstellenart und CVSS bewertet deren Schweregrad. Zusammen bilden sie die Sprache des Schwachstellenmanagements. Konzentrieren Sie sich auf CVEs mit hohen CVSS-Werten, hoher EPSS-Wahrscheinlichkeit und bestätigtem Vorhandensein in Ihrer Umgebung.