Un identificator CVE le permite furnizorilor, cercetătorilor, bazelor de date, instrumentelor și apărătorilor să se refere la aceeași problemă divulgată fără a se baza pe denumiri specifice produsului. El identifică o vulnerabilitate; nu atribuie severitate, nu confirmă exploatarea și nu prescrie remedierea.
Autoritățile de numerotare CVE autorizate (CVE Numbering Authorities, CNA) rezervă identificatori, determină dacă problemele îndeplinesc regulile programului în domeniul lor și publică înregistrări în CVE List. Înregistrările pot fi actualizate pe măsură ce descrierile, produsele afectate, referințele sau alte informații se îmbunătățesc.
Puncte esențiale
Formatul identificatoruluiUn identificator CVE combină prefixul „CVE”, un an și un număr de secvență; anul face parte din identificator și nu indică fiabil când a avut loc descoperirea, exploatarea sau remedierea.
Scopul înregistrăriiO înregistrare CVE furnizează o identitate comună și date descriptive de bază, astfel încât avizele, bazele de date, inventarele și instrumentele de securitate să poată schimba informații despre aceeași vulnerabilitate divulgată.
Fluxul consumatoruluiConfirmați produsul și versiunea afectată față de avizele autoritative, apoi combinați înregistrarea cu contextul de implementare, severitatea, dovezile de exploatare și îndrumările de remediere.
Limitare importantăNu fiecare defect de securitate primește un identificator CVE, iar prezența, absența, vechimea sau secvența unui identificator nu stabilește severitatea, exploitabilitatea, calitatea divulgării, disponibilitatea unui patch sau riscul organizațional.