CVEとは？

CVEの意味

個別の脆弱性に一意の識別番号（CVE-西暦-連番）を付け、製品や情報源をまたいで同じ脆弱性を指し示せるようにする共通識別子。MITREが採番を統括する。

CVEの具体例

脆弱性の連絡が「Log4jの重大な穴」のような表現で各所から届き、同じものかどうか判別できなかった。CVE-2021-44228のように識別番号で管理する台帳へ切り替え、資産一覧の製品・版と突き合わせて影響範囲を30分で特定できるようにした。

CVEは試験でどう引っ掛けられる？

CVEは「個々の脆弱性の識別番号」、CWEは「脆弱性を生む弱点の種類の分類」、CPEは「製品・バージョンの識別名」、CVSSは「深刻度の評価尺度」。4つの役割の入れ替えが定番の出題。

CVEと関連する用語

• CWE
• CVSS
• CPE
• JVN

CVEが出た過去問

• POODLE（CVE-2014-3566）攻撃の説明はどれか。

  正解：SSL 3.0を使用した通信において，ブロック暗号のCBCモード利用時の脆弱性を突く攻撃であり，パディングを悪用して暗号化通信の内容を解読できる。

  要点：POODLEはSSL3.0のCBCパディングを突く解読攻撃

  POODLEはSSL 3.0のCBCモードにおけるパディング検証の甘さを突く攻撃です。攻撃者がパディング部分を書き換えて応答の可否を観測することで、暗号文を1バイトずつ解読できます。SSL 3.0の仕様上の欠陥であるため、対策はSSL 3.0の無効化です。

  出典：平成28年度 秋期 情報処理安全確保支援士試験 am2 問3（IPA）

• JVNなどの脆弱性対策ポータルサイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子である。

  要点：CVEは個々の脆弱性を一意に識別する共通番号

  CVE識別子は、公開された個々の脆弱性に一意の番号を付けて世界共通で参照できるようにする仕組みです。これにより、異なるベンダや情報源の間でも同じ脆弱性を確実に指し示せます。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問10（IPA）

• JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and Exposures)識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは脆弱性を一意に識別する共通の番号

  CVE識別子は、公表された個々の脆弱性に一意の番号を割り当てて世界共通で参照できるようにする仕組みです。ベンダや情報源が違っても同じ番号で同一の脆弱性を指せるため、情報の突き合わせが容易になります。

  出典：平成30年度 秋期 情報処理安全確保支援士試験 am2 問2（IPA）

• CVSS v3の評価基準には,基本評価基準,現状評価基準,環境評価基準の三つがある。基本評価基準の説明はどれか。

  正解：機密性への影響,どこから攻撃が可能かといった攻撃元区分,攻撃する際に必要な特権レベルなど,脆弱性そのものの特性を評価する。

  要点：基本評価基準は脆弱性そのものの不変な性質を測る指標

  CVSS v3の基本評価基準（Base Metrics）は、脆弱性そのものが本質的に持つ特性を、時間や利用環境に左右されない形で評価する指標群である。攻撃元区分（AV）、攻撃条件の複雑さ（AC）、必要な特権レベル（PR）、利用者の関与（UI）といった攻撃可能性の指標と、機密性・完全性・可用性への影響度で構成される。一度算出すれば値は変わらず、CVE等で公表される「深刻度スコア」は通常この基本値を指す。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問1（IPA）

• JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and Exposures)識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは個々の脆弱性に付ける共通の識別番号

  CVEは、個別の製品に存在する脆弱性そのものに一意の識別子（CVE-西暦-連番）を付ける仕組みで、MITREが採番している。異なるベンダーや情報源が同じ脆弱性を指していることを照合できるようにするのが目的であり、JVNやNVDなどのポータルで共通の見出しとして使われる。設定項目の識別はCCE、製品の識別はCPEと、対象ごとに別の体系が用意されている。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問8（IPA）