Wat is een CVE?

Twee beelden om het concreet te maken

Ten eerste is een CVE een kenteken. Het duidt één specifiek voertuig aan, en slechts één. Het vertelt je niet hoe snel het gaat, of het überhaupt beweegt, of dat het je pad al heeft gekruist. Twee getuigen die hetzelfde kenteken noemen, hebben het noodzakelijkerwijs over hetzelfde voertuig: dat is alles wat het garandeert, en dat is al veel.

Ten tweede is een CVE een ER-zaaknummer. Je krijgt het bij opname, vóór elke diagnose: het nummer bestaat terwijl het dossier nog leeg is. Dat is precies de "gereserveerde" status van een CVE, en daarom kan een CVE in een tool verschijnen met bijna geen informatie - en vervolgens de volgende dagen invullen.

Onthoud de vraag die een CVE beantwoordt: over welke fout hebben we het? – niet “is het ernstig?”, niet “word ik aangevallen?”

Anatomie van een identificatie: CVE-YYYY-NNNN

Een CVE-identifier volgt altijd dezelfde structuur:

Twee subtiliteiten die bijna iedereen mist:

• Het jaar weerspiegelt de reservering van de identificatiecode, niet van de publicatie ervan. Een CVE gereserveerd in december 2025 en onthuld in maart 2026 houdt het jaartal bij 2025. Het sorteren van een feed op jaar heeft dus niets te maken met het sorteren op recentheid.
• Het volgnummer heeft minimaal vier cijfers en kan langer groeien. Wij zijn weggegaan CVE-2014-0160 naar identificatiegegevens van zes cijfers om het volume te absorberen: een alfabetische sortering breekt waar een numerieke sortering geldt.

Wie wijst CVEs toe: de rol van CNA's

Geen enkele centrale autoriteit kent identificatiegegevens toe. Die baan behoort toe aan geautoriseerde organisaties, genaamd CNA (CVE Nummeringsautoriteiten), die deze binnen hun eigen reikwijdte reserveren en publiceren. Het programma telt ruim 400 wereldwijd; de officiële lijst, de enige actuele, wordt gepubliceerd door cve.org.

• De verkopers (Microsoft, Apple, Google, Red Hat, Cisco…) zijn hun eigen CNA en publiceren de CVEs voor hun producten.
• Er zijn ook coördinatoren — CERT/CC, nationale CERT's — die betrekking hebben op software zonder leverancier CNA, vooral open source.
• De MITRE is de root CNA en het secretariaat van het programma; CISA, het Amerikaanse cyberveiligheidsagentschap, financiert het.

Dit gedecentraliseerde model biedt dekking en snelheid: wie de fout kent, documenteert deze het beste. Er zijn kosten aan verbonden, die het onderwerp zijn van de volgende paragraaf.

Wat een CVE-record bevat en wat er vaak ontbreekt

Een gepubliceerde CVE biedt minimaal:

• a beschrijving van de kwetsbaarheid;
• de betrokken producten en versies, idealiter als een gestandaardiseerde identificatiecode, CPE (Gemeenschappelijke platformopsomming, het naamgevingsschema dat software op een machinaal leesbare manier beschrijft);
• de zwakte erachter, geclassificeerd met behulp van CWE;
• a ernstscore gebaseerd op CVSS, niet altijd beschikbaar bij publicatie;
• en referenties: beveiligingsadviezen, patches, proofs of concept.

Hoe compleet zijn deze velden hangt volledig af van de CNA die het record publiceert. Sinds februari 2024 is de verrijking door de NVD (scores en CPE's achteraf toegevoegd) sterk vertraagd, waardoor een groot aantal records achterblijft zonder bruikbare gegevens over de betrokken versie. Een CVE zonder een CPE of een versiereeks kan met geen enkele inventaris worden vergeleken: hij is onzichtbaar voor geautomatiseerde correlatie. Dat is de praktische reden waarom er meerdere worden gecontroleerd gegevensbronnen essentieel is geworden, en waarom de kwaliteit van een CNA is het meten waard.

De levenscyclus van een CVE

Een CVE is niet in steen gebeiteld. De status ervan verandert, en die veranderingen zijn vaak belangrijker dan de oorspronkelijke publicatie ervan.

Bovenop deze staten komen er twee overgangen die alles veranderen voor prioritering: toegevoegd worden aan de CISA KEV-catalogus, wat betekent dat er uitbuiting is waargenomen, en de schijn van een proof-of-concept (PoC, kortom: gepubliceerde code die de aanval demonstreert), waardoor uitbuiting binnen ieders bereik komt. Monitoring die alleen nieuwe publicaties bijhoudt, mist beide.

CVE, CVSS, EPSS, KEV: verwissel ze niet

Dit is de meest voorkomende verwarring en het kost veel tijd. Een CVE identificeert; de andere drie karakteriseren dezelfde fout vanuit verschillende hoeken.

Eén fout die door alle vier de raamwerken heen te zien is

Laten we Log4Shell nemen en het van het ene raamwerk naar het volgende volgen. Deze oefening maakt het verschil duidelijker dan welke definitie dan ook.

Lees de laatste rij: alleen tussen publicatie en bevestigde exploitatie een paar uur ging voorbij. Bij een fout in dit profiel wordt de periode tussen 'we komen erachter' en 'we worden aangevallen' niet in weken gemeten. Dat is iets wat de CVSS-score alleen je nooit zou hebben verteld.

Drie CVEs die geschiedenis hebben geschreven

Hartbloeding — CVE-2014-0160 (april 2014)

Een OpenSSL-fout waardoor aanvallers het geheugen van een server kunnen lezen: privésleutels, wachtwoorden, sessie-inhoud. Een veelzeggend detail: de CVSS 3.1-score is 7.5, “hoog”, niet “kritisch” – omdat het alleen lezen toestaat, zonder iets te wijzigen of te verstoren. Toch leidde het tot de heruitgave van een groot deel van de internetcertificaten. Bewijs dat de score het bereik niet meet.

Log4Shell — CVE-2021-44228 (december 2021)

Uitvoering van code op afstand in Log4j, de logbibliotheek die in een groot deel van de zakelijke Java-software aanwezig is. Waardering 10 op 10, massaal uitgebuit binnen enkele uren na openbaarmaking. De blijvende les: de meeste getroffen organisaties wisten niet dat ze Log4j gebruikten, omdat het binnenkwam als een afhankelijkheid van een afhankelijkheid.

XZ Gebruikt achterdeur — CVE-2024-3094 (maart 2024)

Een achterdeur die opzettelijk in een Linux-compressietool is geplaatst, het resultaat van twee jaar geduld van een bijdrager die onderhouder werd. Toevallig opgemerkt door een ontwikkelaar die een abnormaal trage SSH-verbinding opmerkte, een paar weken voordat het pakket stabiele distributies bereikte. Waardering 10 op 10. Het verschoof de vraag van “is mijn code veilig?” tot “wie vertrouwt mijn code?”

Waarom het CVE-volume explodeert

De cijfers voor de meest recente volledige jaren: ruim 40.000 CVEs gepubliceerd in 2024, ongeveer 28.800 in 2023, 25.000 in 2022. De curve is sinds 2016 geen enkel jaar gedaald. Meer software, meer onderzoekers, meer geautoriseerde CNA's: alle drie de factoren wijzen in dezelfde richting.

Laten we dat omzetten in werktijd. Veertigduizend CVEs komt verdeeld over ongeveer 250 werkdagen op 160 opnames per dag. Vijfenveertig seconden om een record te lezen en te beslissen of het u aangaat, dat duurt twee uur per werkdag – voor een relevantiepercentage dat, voor een MKB-omgeving, ruim onder de één procent ligt. Geen enkel team kan dat tempo bijhouden, en dat zou ook niet moeten.

De officiële teller van het programma, die voortdurend wordt bijgewerkt, wordt gepubliceerd op cve.org/about/Metrics. Wij wijzen u daar liever op dan dat we hier een cijfer bevriezen dat over zes maanden verouderd zal zijn.

Wat het voor u betekent, in de praktijk

Dit is wat een team dat niet meer verdrinkt in het voer, maandagochtend doet.

1. Schrijf de inventaris op. Leverancier, product, hoofdversie, voor alles dat openbaar wordt gemaakt of gegevens bevat. Twintig tot veertig regels zijn voldoende voor een MKB-bedrijf. Zonder deze lijst is filteren niet mogelijk: het is het enige werk dat je echt niet mag overslaan.
2. Filter op die lijst. Alles wat niet overeenkomt met een regel in de inventaris valt buiten het bereik. Dat is waar 99% van het geluid verdwijnt.
3. Sorteer wat er overblijft, in deze volgorde. In de KEV → binnen 48 uur afgehandeld. Anders, EPSS boven 0,1 → deze week. Anders, CVSS breekt de gelijke stand, en alleen dan.
4. Bekijk de overgangen. Een CVE die op dinsdag als ‘laag’ is beoordeeld, kan donderdag de KEV betreden. Wat een waarschuwing zou moeten activeren is niet alleen publicatie, het is een statuswijziging.

Veelgestelde vragen