Explicación del concepto CVE
CVE básicamente significa Vulnerabilidades y Exposiciones Comunes (Common Vulnerabilities and Exposures por sus siglas en inglés)
Día a día se van descubriendo vulnerabilidades del software, sea cual sea el fabricante del mismo o el producto, ¡todos están expuestos de alguna u otra manera! Existen programas de recompensas por encontrar fallas en el software, por lo tanto, hay hackers éticos que se encargan de analizar el producto de pequeñas hasta grandes compañías con el fin de lograr un rédito monetario. Además, existen entusiastas que sin la búsqueda de alguna compensación están también al acecho día a día buscando alguna brecha de seguridad, por mero reconocimiento de la comunidad o solo por ocio, sea cual sea al caso, las vulnerabilidades, en el mejor de los casos son alertados a los fabricantes.
Una vez identificada la vulnerabilidad esta pasa al estado oficial de identificación con una numeración única que lo identifica, y obviamente toda la descripción del problema, versiones afectadas, etc. En paralelo a la vulnerabilidad existe el concepto de “exploit” que sería si esa vulnerabilidad es explotable y/o utilizada por un potencial atacante, y esto es lo que realmente marcaría el grado de gravedad de una vulnerabilidad, pues al ser explotable y peor aún si ya se hacen públicos los exploits, el problema es mayor.
Existe el otro escenario en el que un software es vulnerable pero no existe aún exploit para el mismo por lo que su estado de gravedad entra en un letargo pero, puede ser un falso positivo, así que de igual manera hay que tomar las debidas precauciones y “parchar” la vulnerabilidad, dicho esto, aquí entra “la otra pata del tema” que serían los “patches” o parches de seguridad y esto marcaría la calidad y seriedad del fabricante en responder ante cualquier vulnerabilidad en su producto, así que hay que tener muy en cuenta la trilogía: 1-la vulnerabilidad, su tipo y su gravedad; 2-los exploit, y tomarse el tiempo para aplicar 3-los parches, muchas de las actualizaciones de seguridad son automáticas pero otras se deben realizar manualmente.
En resumen, una vulnerabilidad publicada como CVE nos provee todas las descripciones y algunas referencias del mismo. Además provee la información: si aún no son explotables, que puede ser debido al desinterés de la vulnerabilidad por la comunidad, la baja peligrosidad o puede ser que solo sea cuestión de tiempo; o si ya existe algún exploit público, y dependiendo nuevamente de lo que se puede obtener aprovechando esa vulnerabilidad, el sistema podría estar gravemente comprometido o no. Y por último aplicar los parches correctivos es de vital importancia y más en el caso que la vulnerabilidad sea tildada de grave o crítica.
Algunos sitios de interés