Identifikátor CVE umožňuje dodavatelům, výzkumníkům, databázím, nástrojům a obráncům odkazovat na stejný zveřejněný problém bez spoléhání na produktově specifická jména. Identifikuje zranitelnost; nepřiděluje závažnost, nepotvrzuje zneužití ani nepretrhuje nápravu.
Autorizované autority CVE Numbering Authorities (CNA) rezervují identifikátory, určují, zda problémy splňují pravidla programu v jejich rozsahu, a publikují záznamy do seznamu CVE List. Záznamy mohou být aktualizovány, jak se popisy, dotčené produkty, reference nebo jiné informace zlepšují.
Klíčové body
Formát identifikátoruIdentifikátor CVE kombinuje prefix „CVE", rok a pořadové číslo; rok je součástí identifikátoru a spolehlivě neuvádí, kdy došlo k objevu, zneužití nebo nápravě.
Účel záznamuZáznam CVE dodává společnou identitu a základní popisná data, aby poradenství, databáze, inventáře a bezpečnostní nástroje mohly vyměňovat informace o stejné zveřejněné zranitelnosti.
Postup konzumentaPotvrďte dotčený produkt a verzi vůči autoritativním poradenstvím, poté kombinujte záznam s kontextem nasazení, závažností, důkazy o zneužití a návodem k nápravě.
Důležité omezeníNe každá bezpečnostní chyba obdrží identifikátor CVE a přítomnost, absence, stáří či pořadí identifikátoru nezakládá závažnost, zneužitelnost, kvalitu zveřejnění, dostupnost záplaty ani organizační riziko.