Números como "CVE-2021-44228" e "CVE-2017-5638" aparecem em toda notícia de grande invasão. Veja o que eles significam e como um desenvolvedor independente pode acompanhá-los de forma realista.
Como ler o número
Um identificador CVE tem três partes. O número em si não carrega significado de severidade (isso é uma coisa separada).
Por que ele é necessário
Vulnerabilidades são encontradas o tempo todo. Sem um nome compartilhado, "a vulnerabilidade que você quer dizer" e "a que eu corrigi" podem não ser a mesma coisa. Um identificador comum permite que notícias, correções, scanners e bancos de dados apontem para exatamente a mesma vulnerabilidade. Esse é o ponto de partida de qualquer correção.
Quem atribui os números
O CVE é gerido pelo CVE Program, operado pela MITRE nos EUA e financiado pela CISA (EUA). Os números em si são atribuídos por organizações autorizadas como CNAs (CVE Numbering Authorities) no mundo todo: fabricantes de software, organizações de pesquisa em segurança, CERTs nacionais e outras, várias centenas no total. No Japão, o JPCERT/CC é uma delas.
Um registro CVE tem um estado. "Reserved" (reservado) significa que o número foi separado, mas os detalhes estão retidos; "Published" (publicado) significa que o conteúdo é público; "Rejected" (rejeitado) significa que foi retirado por ser duplicado ou um erro. Quando um número aparece nas notícias sem detalhes por trás, ele ainda pode estar reservado.
CVE vs NVD vs JVN
O mesmo identificador CVE mostra informações diferentes conforme o lugar onde você o consulta.
| Nome | Mantido por | O que contém | Use para |
|---|---|---|---|
| CVE (cve.org) | MITRE (com apoio da CISA) | o identificador, uma descrição curta, referências | o identificador oficial e o resumo |
| NVD | NIST (EUA) | os dados do CVE mais pontuações CVSS e produtos afetados | a pontuação e quais produtos são afetados |
| JVN | JPCERT/CC e IPA | vulnerabilidades em produtos japoneses, explicações e correções em japonês | detalhes em japonês, produtos japoneses |
| KEV | CISA (EUA) | CVEs com exploração confirmada, com prazos de correção | priorizar |
CVE vs CVSS vs KEV: o que cada um informa
Esses três andam juntos, mas respondem a perguntas diferentes. Você usa os três para priorizar.
| Termo | Responde | Exemplo |
|---|---|---|
| CVE | Qual vulnerabilidade (o nome) | CVE-2021-44228 (Log4Shell) |
| CVSS | Quão severa (0–10) | 10.0 (pior classe) |
| KEV | Está sendo explorada? | Na lista de exploradas → prioridade máxima |
Um CVSS alto não é automaticamente prioridade máxima
A pontuação é um "valor teórico de pior caso". Na prática, pese o KEV (está sendo explorada agora) e se você usa o recurso afetado. Um 10.0 que você não usa tem pouco impacto; uma pontuação média sob exploração ativa é prioridade máxima.
Da atribuição à correção
Um CVE não é publicado no instante em que é encontrado — ele passa por coordenação.
Descoberta e relato
Reservado
Publicado
Explorada (KEV)
Exemplos: CVEs que continuam aparecendo nas notícias
Estes são incidentes tratados neste site e seus identificadores CVE. Você não precisa decorar os números; o ponto é que pesquisar pelo número reúne, de todos os lugares, as informações sobre a mesma vulnerabilidade.
| Identificador CVE | Nome comum / produto | Incidente relacionado |
|---|---|---|
| CVE-2014-0160 | Heartbleed (OpenSSL) | Heartbleed: vazamento da memória do servidor |
| CVE-2017-5638 | Apache Struts | Equifax: sem correção aplicada, dados de 147 milhões de pessoas expostos |
| CVE-2018-13379 | Appliance VPN | Hospital Handa (em inglês): apontada como porta de entrada do ransomware |
| CVE-2021-44228 | Log4Shell (Log4j) | Log4Shell: em uso por dependências indiretas que ninguém tinha notado |
| CVE-2023-34362 | MOVEit Transfer | MOVEit: o dano se espalhou para mais de 2.700 organizações |
| CVE-2024-3094 | XZ Utils | XZ Utils: um backdoor inserido nos arquivos de release |
Assim que um número é publicado, os atacantes leem as mesmas informações. Nos incidentes da Equifax e do Hospital Handa, houve tempo entre a liberação da correção e a invasão. O tempo até você aplicar a correção é o tempo em que você pode ser atacado.
Uma forma realista de acompanhar
Acompanhar cada CVE na mão é impossível, e o esquecimento vira o incidente. → Um CVSS 10.0 público ignorado por meses
Então, deixe as máquinas vigiarem.
Erros comuns
- Ler as notícias e julgar "provavelmente está tudo bem" na mão
- Medir o risco apenas pelo texto do
package.json - "Atualizar um dia desses" sem prazo
Deixe as máquinas vigiarem
- Dependabot (GitHub): PRs automáticos para CVEs que correspondem às suas dependências
- osv-scanner (Google): verifica seu lockfile no CI, em um único passo
- Julgue pela versão de fato em execução (não pelo piso)
A chave é julgar pela versão de fato em execução — o piso do package.json pode diferir do que de fato está em execução (esse erro de julgamento também alimentou um incidente de RCE).
Como verificar a sua própria configuração
Consulte do que se trata um identificador CVE
Digite um número visto nas notícias no CVE / KEV Lookup para ver em um só lugar a pontuação CVSS, a probabilidade de exploração (EPSS) e se ele está no KEV.
Liste os CVEs que atingem as suas dependências
Carregue o seu lockfile (package-lock.json, pnpm-lock.yaml etc.) no Dependency Vulnerability Scanner para obter a lista de CVEs e GHSAs correspondentes. Em projetos npm, npm audit faz o mesmo.
Confira servidores e appliances por produto e versão
Para produtos fora do seu gerenciador de pacotes, como servidores e appliances VPN, consulte os avisos do fabricante para ver se a versão que você usa é afetada. Se for, defina um prazo para atualizar (→ como lidar com um CVE na prática).
Fontes (primárias)
- CVE Program, "Process" — cve.org (em inglês; atribuição pelas CNAs e estados do registro CVE)
- NIST, "National Vulnerability Database" — nvd.nist.gov (em inglês)
- JPCERT/CC e IPA, "JVN (Japan Vulnerability Notes)" — jvn.jp (em inglês)
- CISA, "Known Exploited Vulnerabilities Catalog" — cisa.gov (em inglês)
Leia a seguir
- Glossário: O que é CVSS (o critério de severidade) · O que é RCE
- Defesa: Construa uma rotina de acompanhamento de CVEs
- Na prática: Qual CVE corrigir primeiro (definindo prioridade e prazos)