CVE

CVE — общедоступная система идентификации публично раскрытых уязвимостей. Идентификатор записи строится как CVE-YYYY-NNNN…: после префикса CVE указываются четыре цифры года и порядковая часть не менее чем из четырёх цифр. Он позволяет однозначно ссылаться на одну уязвимость в сообщениях производителей, базах знаний и инструментах управления уязвимостями. Идентификатор не задаёт тяжесть, вероятность эксплуатации, наличие исправления или затронутые конфигурации сам по себе. Для принятия решения необходимы описание записи, перечень затронутых версий, сведения производителя, статус исправления и оценка применимости к конкретному активу. CVE используют при учёте уязвимостей в инвентаре программного обеспечения, сканировании, обработке патчей, закупке средств защиты и обмене данными между командами эксплуатации и ИБ. Номер облегчает корреляцию сведений из разных источников. CVE не является оценкой риска и не тождественна CVSS: CVE отвечает на вопрос идентификации проблемы, а CVSS описывает стандартизированную оценку её технической серьёзности. Один продуктовый бюллетень может ссылаться на несколько CVE.