cisagov/vulnrichmentEin Repository zur Durchführung von Schwachstellen-Anreicherung.
Das CISA Vulnrichment-Projekt ist das öffentliche Repository der CISA-Anreicherung öffentlicher CVE-Einträge durch den ADP-Container (Authorized Data Publisher) der CISA. In dieser Phase des Projekts bewertet die CISA neue und aktuelle CVEs und fügt zentrale SSVC-Entscheidungspunkte hinzu. Nach der Bewertung erhalten einige CVEs mit höherem Risiko zusätzlich eine Anreicherung mit CWE- und/oder CVSS-Datenpunkten, sofern möglich.
Produzenten und Konsumenten dieser CVE-Daten sollten bereits mit dem aktuellen CVE Record Format vertraut sein und können auf diese Daten auf die üblichen Wege zugreifen, einschließlich der GitHub API und der CVE Services API. Beachten Sie, dass die Ergebnisse von Vulnrichment über das kürzlich (2024) gestartete ADP Program in den CVE-Korpus zurückgeführt werden. Nachgelagerte Konsumenten müssen dieses GitHub-Repository nicht forken und verfolgen, wenn sie bereits Live-CVE-Daten konsumieren.
Dieses Projekt befindet sich in aktiver Entwicklung, daher sollten Sie diese README.md im Auge behalten, um über Aktualisierungen informiert zu bleiben.
Zunächst führt die CISA für jede CVE einen SSVC-Bewertungsprozess durch.
Als Nächstes werden für diejenigen CVEs, die als „Total Technical Impact", „Automatable" eingestuft werden oder „Exploitation"-Werte von „Proof of Concept" oder „Active Exploitation" aufweisen, weiterführende Analysen durchgeführt. Die CISA wird feststellen, ob genügend Informationen vorliegen, um einen bestimmten CWE-Identifier und/oder einen CVSS-Score anzugeben. In einigen Fällen wird die CISA diese Metriken auch für Schwachstellen bereitstellen, die bei keinem dieser Entscheidungspunkte als hochriskant eingestuft werden.
Für diejenigen CVEs, bei denen diese Felder nicht bereits von der ursprünglichen CNA befüllt wurden, wird die CISA den zugehörigen ADP-Container mit diesen Werten befüllen, sofern ausreichend unterstützende Belege dafür vorliegen. Die CISA wird zu keinem Zeitpunkt die Daten der ursprünglichen CNA im ursprünglichen CNA-Container des CVE-Eintrags überschreiben.
Diese Flussdiagramme veranschaulichen den Vulnrichment-Prozess. Bitte beachten Sie, dass die Details in den Flussdiagrammen Änderungen unterliegen können, während die Vulnrichment-Prozesse verfeinert werden.
Nehmen wir uns einen Moment Zeit, um einige CVE-Einträge für jede Art von Vulnrichment anzusehen, die Sie vom CISA ADP erwarten können.
Alle unten als Beispiele herangezogenen CVEs wurden zufällig aus denen ausgewählt, die den dargestellten Kriterien entsprechen.
Jede vom CISA ADP analysierte CVE wird drei SSVC-Entscheidungspunkte aufweisen. Für diese Beispiele betrachten wir CVE-2024-34974, CVE-2024-25522 und CVE-2024-35057. Wir schauen uns auch CVE-2024-33666 an, das einen SSVC-Score mit niedrigem Risiko aufweist.
CVE-2024-25522 hat einen „poc"-Wert für Exploit in Zeile 47, was darauf hinweist, dass zum Zeitpunkt der Analyse ein öffentlicher Proof-of-Concept verfügbar war:
"options": [
{
"Exploitation": "poc"
},
{
"Automatable": "yes"
},
{
"Technical Impact": "total"
}
]
CVE-2024-34974 hat einen „yes"-Wert für „Automatable" in Zeile 50, was darauf hinweist, dass ein Angreifer diese Schwachstelle im Allgemeinen nach Belieben ausnutzen könnte, ohne sich um Recon, Weaponization, Delivery oder Exploitation-Prevention-Techniken sorgen zu müssen.
"options": [
{
"Exploitation": "none"
},
{
"Automatable": "yes"
},
{
"Technical Impact": "partial"
}
]
CVE-2024-35057 hat einen „total"-Wert für „Technical Impact" in Zeile 59, was darauf hinweist, dass die Ausnutzung dieser Schwachstelle dem Angreifer im Allgemeinen die vollständige Kontrolle über die betroffene Software ermöglicht.
"options": [
{
"Exploitation": "none"
},
{
"Automatable": "no"
},
{
"Technical Impact": "total"
}
]
Für diejenigen CVEs, die im KEV enthalten sind, wird das CISA ADP einen KEV-Block hinzufügen. Für diejenigen, die nicht enthalten sind, erfolgt keine Aktualisierung.
CVE-2024-4947 ist eine solche CVE und enthält den KEV-Block ab Zeile 153:
"other": {
"type": "kev",
"content": {
"dateAdded": "2024-05-20",
"reference": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-4947"
}
}
CVE-2024-3477 ist ein Beispiel für eine CVE, bei der die ursprüngliche CNA keine CWE angegeben hat und ein CISA-Analyst eine aus dem Kontext der verfügbaren Schwachstelleninformationen ableiten konnte. Diese Metrik beginnt in Zeile 49 unter dem problemTypes-Knoten:
"problemTypes": [
{
"descriptions": [
{
"lang": "en",
"type": "CWE",
"cweId": "CWE-352",
"description": "CWE-352 Cross-Site Request Forgery (CSRF)"
}
]
}
]
CVE-2024-0043 ist ein Beispiel für eine CVE, bei der eine CVSS-Berechnung von der CISA hinzugefügt wurde, beginnend in Zeile 30. Auch dies basiert auf dem Kontext der zum Zeitpunkt der Analyse verfügbaren Schwachstelleninformationen.
"cvssV3_1": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 7.8,
"attackVector": "LOCAL",
"baseSeverity": "HIGH",
"vectorString": "CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H",
"integrityImpact": "HIGH",
"userInteraction": "REQUIRED",
"attackComplexity": "LOW",
"availabilityImpact": "HIGH",
"privilegesRequired": "NONE",
"confidentialityImpact": "HIGH"
}
Bitte beachten Sie, dass die CISA ab dem 10. Dezember 2024 keine CPE-Strings mehr zum angereicherten Datensatz hinzufügen wird. Zuvor angereicherte Daten können weiterhin CPE-Informationen enthalten. Die hier gemachten Anmerkungen zu CPE-Strings dienen historischen Zwecken.
CVE-2024-1347 ist ein Beispiel für eine CVE, bei der ein CPE-String von der CISA hinzugefügt wurde, beginnend in Zeile 61.
"cpes": [
"cpe:2.3:a:gitlab:gitlab:*:*:*:*:*:*:*:*"
]
CVE-2024-2905 ist ein Beispiel für eine CVE, die bereits CWE-, CVSS- und CPE-Metriken aufwies (siehe hier), als die CISA den SSVC-Triage-Schritt durchführte, und die nicht im KEV enthalten ist, sodass nichts weiter hinzugefügt werden musste. Gute Arbeit, Red Hat CNA!