CVE (Common Vulnerabilities and Exposures) ist ein weltweit genutztes System zur eindeutigen Benennung bekannter Sicherheitslücken. Jede öffentlich gemeldete Schwachstelle erhält eine feste Kennung, über die sie in allen Datenbanken und Werkzeugen einheitlich referenziert wird.
Aufbau einer CVE-ID
Eine CVE-ID hat das Format CVE-JAHR-NUMMER, zum Beispiel CVE-2017-0144 für die SMB-Lücke, die WannaCry 2017 ausnutzte, oder CVE-2024-3094 für die XZ-Utils-Backdoor. Die Jahreszahl nennt das Jahr der Vergabe, die Nummer ist eine fortlaufende Kennung. Gepflegt wird das System von der gemeinnützigen Organisation MITRE, gefördert durch die US-Behörde CISA.
CVE, CWE und CVSS
- CVE benennt den konkreten Einzelfall: eine bestimmte Lücke in einer bestimmten Software-Version.
- CWE (Common Weakness Enumeration) klassifiziert den zugrunde liegenden Schwachstellentyp, etwa „Pufferüberlauf" oder „fehlende Authentifizierung".
- CVSS (Common Vulnerability Scoring System) bewertet die Schwere einer Lücke mit einer Punktzahl von 0 bis 10 — sie bestimmt, wie dringend ein Patch ist.
Warum CVE wichtig ist
Die einheitliche Kennung ermöglicht die Automatisierung des Schwachstellenmanagements: Scanner, Firewalls und Patch-Systeme sprechen dieselbe Sprache. Die US-Datenbank NVD (National Vulnerability Database) reichert jede CVE um Details, CVSS-Werte und Referenzen an. Wer eine Lücke ohne CVE-Nummer melden will, beantragt über die CVE-Organisationen eine reservierte ID, die erst nach der Veröffentlichung öffentlich wird.
Verwandte Grundlagen: Exploit (die Ausnutzung einer CVE-gemeldeten Lücke), Zero-Day (Lücken ohne CVE-Eintrag) und Penetrationstest.