Müasir proqram təminatlarını yeni yaranan kibertəhdidlərdən qorumaq üçün CVE qiymətləndirməsi və CVE təhlükəsizliyi vacibdir. Zəifliklərin müəyyən edilməsi və prioritetləşdirilməsi təşkilatlara ən vacib riskləri əvvəlcə həll etməyə imkan verir. CVE qiymətləndirməsi təmin edir standardzəiflikləri ciddiliyə görə sıralamaq üçün hazırlanmış bir yol, CVE təhlükəsizlik təcrübələri isə bu risklərin düzgün idarə olunmasını və azaldılmasını təmin edir.
2025 olaraq, 48,185 CVE dərc edilib, 2024-cü ildəki 39,962-dən 20.6% artım və 38%-i Yüksək və ya Kritik dərəcəli ağırlıq dərəcəsi ilə qiymətləndirilib. Həcm bu qədər sürətlə artdığı üçün güclü CVE ballandırması və təhlükəsizlik strategiyasına sahib olmaq artıq könüllü deyil; bu, zərurətdir.
Daha böyük problem təkcə həcmdə deyil, ənənəvi təhlilin də bununla ayaqlaşa bilməməsidir. NIST-in NVD-si 2025-ci ildə təxminən 42,000 CVE-ni zənginləşdirib ki, bu da əvvəlki illərlə müqayisədə 45% çoxdur, lakin bu yenə də artan təqdimatlara uyğunlaşmaq üçün kifayət deyildi. Birbaşa nəticə olaraq, 2025-ci ildə yeni açıqlanan CVE-lərin yalnız 28%-i tam NVD zənginləşdirməsi (CVSS balı, CWE təsnifatı, CPE məlumatları) alıb ki, bu da 2024-cü ildəki 46.2%-dən kəskin şəkildə aşağıdır. Bu rəqəmlər təşkilatların yalnız vaxtında gələn NVD məlumatlarına etibar etmək əvəzinə, öz CVE təhlükəsizlik tədbirlərinə sahib olmalarının artan təcililiyini vurğulayır.
CVE Qiymətləndirməsi Nədir və CVE Təhlükəsizliyi üçün Nəyə Görə Vacibdir?
CVE, ictimaiyyətə açıqlanan kibertəhlükəsizlik zəiflikləri və məruz qalmalarının siyahısı olan Ümumi Zəifliklər və Təsirlər deməkdir. CVE siyahısındakı hər bir giriş, xüsusilə bir zəifliyə istinad edən CVE ID adlanan unikal identifikator alır. MITER Korporasiyası bu sistemi idarə edir, standardzəifliklərin necə müəyyən edildiyini və kataloqlaşdırıldığını müəyyən edir. Bu, kibertəhlükəsizlik sahəsində hər kəsin müəyyən təhdidləri müzakirə edərkən eyni istinaddan istifadə etməsini təmin edir.
CVE qiymətləndirməsi hər bir CVE girişinin qiymətləndirilməsini və onun şiddətinə əsasən ədədi bal verilməsini əhatə edir. Bu bal təşkilatlara zəifliyin aradan qaldırılması üçün prioritet səviyyəsini müəyyən etməyə kömək edir.
Bu, onlara resursları səmərəli şəkildə bölüşdürməyə və potensial riskləri azaltmağa imkan verir. CVE qiymətləndirmə sistemi istismarın asanlığı kimi amilləri qiymətləndirir. O, həmçinin məxfiliyə, bütövlüyə və mövcudluğa (çox vaxt "CIA triadası" adlandırılır) təsiri də nəzərə alır. Bundan əlavə, o, bərpa potensialını qiymətləndirir.
NVD, MITER CVE Siyahısı və CVE Qiymətləndirməsi Birlikdə Necə İşləyir
Milli Zəiflik Məlumat Bazası (NVD) arasındakı əlaqəni anlamaq, MITRE Siyahısıvə CVE təhlükəsizliyi kibertəhlükəsizlik ekosistemində zəifliklərin necə idarə olunduğunu anlamaq üçün vacibdir.
MITRE CVE Siyahısı zəiflikləri müəyyən etməklə və onlara CVE ID təyin etməklə başlayır. Lakin, bu siyahı hər bir zəiflik haqqında yalnız əsas məlumatları təqdim edir. NVD tərəfindən idarə olunur Milli İnstitutu Standards və Texnologiya (NIST), ətraflı təsvirlər, istinadlar və ən əsası, CVE qiymətləndirməsi vasitəsilə bu məlumatları zənginləşdirir Ümumi Zəiflik Qiymətləndirmə Sistemi (CVSS).
NVD əsas mənbədir, çünki o, məlumat bazası kimi xidmət edir standards əsaslı zəiflik məlumatları təşkilatlara zəifliyin təsirini daha əhatəli şəkildə anlamağa kömək edir. NVD yalnız CVSS ballarını deyil, həm də aşağıdakı kimi ətraflı məlumatları əhatə edir:
- Ətraflı təsvirlər texniki detallar və zəifliyin istismar edilə biləcəyi kontekst daxil olmaqla, hər bir zəifliyin təsviri.
- Təsir ölçüləri zəifliyin təşkilat sisteminin müxtəlif hissələrinə necə təsir edə biləcəyini göstərir.
- Bərpa məlumatı məsələn, yamalara, tövsiyələrə və tədbirlərə keçidlər.
Hərtərəfli təbiətinə görə, NVD, təşkilatlar üçün zəifliyin real dünyadakı təsirini qiymətləndirmək və onu necə effektiv şəkildə həll edəcəyini anlamaq lazım olduqda əsas mənbədir.
CVSS: Kibertəhlükəsizlikdə Ən Çox Görülən CVE Qiymətləndirmə Sistemi
CVE qiymətləndirməsi üçün ən çox istifadə edilən metoddur Ümumi Zəiflik Qiymətləndirmə Sistemi (CVSS), Hadisələrə Cavab və Təhlükəsizlik Qrupları Forumu (FIRST) tərəfindən saxlanılır və inkişaf etdirilir. CVSS təmin edir standardzəifliklərin şiddətini ölçməyin təkmilləşdirilmiş bir yolu, təşkilatların hansıları əvvəlcə həll edəcəyinə üstünlük verməsini asanlaşdırır.
Xüsusilə, CVSS zəiflikləri 0-dan 10-a qədər şkala üzrə qiymətləndirir. Burada 0 riskin olmamasını, 10 isə ən yüksək ciddilik səviyyəsini təmsil edir. Bundan əlavə, qiymətləndirmə dörd əsas metrik qrupa əsaslanır:
Baza xal:
Bu, zamanla və istifadəçi mühitlərində sabit olan zəifliyin daxili xüsusiyyətlərini əks etdirir. Baza balında istismar qabiliyyəti kimi amillər nəzərə alınır. Bu, zəifliyi istismar etməyin nə qədər asan olduğunu göstərir. Həmçinin məxfiliyə, bütövlüyə və mövcudluğa təsiri qiymətləndirir.
Zaman Hesabı:
Bu, baza balı zamanla dəyişən amillərə, məsələn, düzəlişin mövcud olub-olmamasına və ya istismarın aktiv şəkildə istifadə olunub-olunmamasına əsasən tənzimləyir. Zaman metriklərinə istismar kodunun yetkinliyi, bərpa səviyyəsi və hesabatın etibarlılığı daxildir.
Ətraf Mühit Hesabı:
Bu, təşkilatlara CVSS balını öz mühitlərindəki zəifliyin təsirini əks etdirmək üçün fərdiləşdirməyə imkan verir. Təsirə məruz qalan sistemin əhəmiyyəti və potensial əlavə zərər kimi amilləri nəzərə alır.
Əlavə Metrik Qrup:
Bu, CVSS v4.0-da təqdim olunur və ümumi risk qiymətləndirməsinə təsir göstərə biləcək əlavə kontekst təqdim edir. Buraya təhlükəsizlik tələbləri, avtomatlaşdırıla bilən metriklər (avtomatlaşdırmanın istismara necə təsir etdiyini ölçən) və digər metrik qruplarına uyğun gəlməyən unikal xüsusiyyətlər kimi mülahizələr daxildir. Ümumi CVSS balına bu metriklər daxil olmasa da, onlar dəyərli məlumatlar təqdim edirlər. Nəticədə, onlar təşkilatlara daha məlumatlı məlumat verməyə kömək edir.ciszəifliklərin idarə olunması ilə bağlı fikirlər.
Ən son versiya, CVSS v4.0, Zəiflik qiymətləndirməsinin dəqiqliyini və istifadə rahatlığını artırmaq üçün bu təkmilləşdirmələri təqdim edir. Metrikləri təkmilləşdirməklə CVSS v4.0 zəifliklərin mürəkkəbliyini və kontekstini daha effektiv şəkildə əks etdirir. Bu, balların daha əvvəlcədən məlumat verməsini təmin edir.cisfaktiki riskin əks olunması.
Real Dünya Nümunəsi: CVE-2021-44228 (Log4Shell)
CVE qiymətləndirməsinin praktikada necə işlədiyini göstərmək üçün, ümumiyyətlə Log4Shell kimi tanınan CVE-2021-44228-ə nəzər salaq. Apache Log4j 2 kitabxana zəifliyi uzaqdan kod icrasına (RCE) imkan verir. Nəticədə, hücumçu təsirlənmiş sistemin nəzarətini ələ keçirə bilər.
- CVE ID-si: CVE-2021-44228
- CVSS Baza Balı: 10.0 (Kritik)
- Hücum vektoru: Şəbəkə (N) – Uzaqdan istifadə edilə bilər.
- Hücum Mürəkkəbliyi: Aşağı (L) – İstifadəsi asandır.
- Tələb olunan imtiyazlar: Yoxdur (N) – İmtiyazlara ehtiyac yoxdur.
- İstifadəçi qarşılıqlı əlaqəsi: Yoxdur (N) – İstifadəçi qarşılıqlı əlaqəsi tələb olunmur.
- Əhatə dairəsi: Dəyişdirilmiş (C) – Resurslara orijinal əhatə dairəsindən kənarda təsir göstərir.
- Məxfilik, Dürüstlük, Mövcudluğun Təsiri: Yüksək (H) – Məxfilik, bütövlük və əlçatanlıq baxımından tam güzəşt.
NVD ən yüksək ciddilik səviyyəsini göstərən 10.0 CVSS balı verdi. Bu zəifliyin geniş yayılmış təbiəti, istismarın asanlığı ilə birlikdə onu bütün dünyada bərpa üçün əsas prioritetə çevirdi.
CVE Qiymətləndirməsindəki Çətinliklər və Onların CVE Təhlükəsizliyinə Təsiri
Zamanı Ümumi Zəifliklər və Təsirlər (ÜZ) sistemi təklif edir standardZəiflikləri müəyyən etmək və izləmək üçün təkmilləşdirilmiş bir üsul olsa da, risklərin idarə olunmasında effektivliyinə bir neçə məhdudiyyət təsir göstərir.
CVE-2021-44228 (Log4Shell) bu çətinlikləri göstərir:
- İstismarla bağlı məhdud təfərrüatlar: CVE-2021-44228 unikal identifikator təqdim edir, lakin təcavüzkarların ondan necə istifadə edə biləcəyi barədə ətraflı məlumat yoxdur. Mütəxəssislər bunu vacib hesab etsələr də, CVE girişi təcavüzkarların istifadə etdiyi dəqiq metodları və ya həssaslığı artıran konfiqurasiyaları tam izah etmir. Bu boşluq təşkilatları real dünya riskləri ilə bağlı qeyri-müəyyən edir.
- Hesabatda Dəyişkənlik: CVE qeydlər məzmun və keyfiyyət baxımından çox dəyişir. Bəziləri, məsələn CVE-2021-44228, ətraflı təsvirlər və texniki məlumatlar təqdim edir, digərləri isə qısa və ya natamam qalır. Bu uyğunsuzluq təşkilatları yalnız CVE girişinə əsaslanaraq zəifliyin riskini qiymətləndirməyə çalışdıqda çətinlik çəkir.
- Kontekstual Uyğunluğun Yoxluğu: CVE girişlərdən istifadə edir standardmüxtəlif mühitlərin spesifik kontekstini əks etdirməyə biləcək formatlaşdırılmış format. Məsələn, CVE-2021-44228 şirkətin infrastrukturundan asılı olaraq sistemlərə fərqli təsir göstərir. Bu uyğunsuzluq, CVE detalları konkret mühitlə uyğun gəlmədikdə, qeyri-dəqiq risk qiymətləndirmələrinə gətirib çıxarır.
- Açıqlamada Gecikmə: Zəifliyi aşkarlamaqla onu CVE verilənlər bazasına əlavə etmək arasında tez-tez gecikmə olur. Bu boşluq zamanı hücum edənlər aşağıdakı kimi zəifliklərdən istifadə edə bilərlər CVE-2021-44228 ictimaiyyətə açıqlanmadan əvvəl, məlumatlılıq və bərpa işlərində gecikmələr səbəbindən riski artırır.
- Məlum Zəifliklərə Diqqət: CVE Girişlər yalnız ictimaiyyətə açıqlanan zəiflikləri əhatə edir ki, bu da sıfır günlük zəiflikləri və açıqlanmayan təhdidləri nəzərə almamış qoyur. Yalnızca etibar etmək CVE təşkilatları verilənlər bazasının hələ kataloqlaşdırmadığı ortaya çıxan risklərə məruz qoyur.
- Girişlərin uyğunsuz keyfiyyəti: Keyfiyyəti CVE girişlər mənbədən asılı olaraq dəyişir. Bəziləri, məsələn CVE-2021-44228, yeni detallarla müntəzəm olaraq yeniləmələr alır, digərləri isə statik olaraq qalır ki, bu da uyğunsuzluqlara və məlumatlarda potensial boşluqlara səbəb olur.
- NVD-nin Zənginləşdirilməsi üzrə Geridə Qalmış Hesabat: Hətta CVE dərc edildikdən sonra belə, onun dərhal qiymətləndiriləcəyinə zəmanət yoxdur. 2024-2025-ci illər arasında 54,914 CVE tam təhlili gözləyən NVD növbəsində qalır. 2026-cı ilin aprel ayında NIST CVE-lər üçün yalnız dərhal zənginləşdirməyə üstünlük verəcəyini açıqladı. CISA-nın Məlum İstismar Edilmiş Zəiflikləri (KEV) kataloqu, federal hökumət daxilində istifadə olunan proqram təminatı və 14028 saylı İcra Fərmanı ilə müəyyən edilmiş kritik proqram təminatı. Qalan hər şey ən yaxşı səy əsasında zənginləşdirilir, yəni əksər təşkilatlar artıq CVSS balının ən çox ehtiyac duyduqları zaman mövcud olacağını güman edə bilməzlər.
EPSS: Hərtərəfli Zəiflik İdarəetməsi üçün CVE Təhlükəsizliyinin Təkmilləşdirilməsi
CVE-2021-44228 həmçinin vurğulayır ki, harada Ümumi Zəiflik Qiymətləndirmə Sistemi (CVSS)möhkəm olsa da, çatışmazlıq yaradır. Bu çatışmazlıq əhəmiyyətini vurğulayır İstismar Proqnozlaşdırma Qiymətləndirmə Sistemi (EPSS).
EPSS nədir?
EPSS kimi zəifliklərin istismar ehtimalını proqnozlaşdırmaq üçün məlumatlara əsaslanan bir çərçivədən istifadə edir. CVE-2021-44228 növbəti 30 gün ərzində. Fərqli olaraq CVSSpotensial təsiri ölçən, EPSS istismar ehtimalını tarixi məlumatlara və tendensiyalara əsaslanaraq qiymətləndirir.
EPSS niyə vacibdir?
- Təkmilləşdirilmiş Prioritetləşdirmə: EPSS təşkilatlara zəiflikləri yalnız ciddiliyə deyil, həm də istismar ehtimalına əsaslanaraq prioritetləşdirməyə imkan verir. Məsələn, təhlükəsizlik qrupları bunu bildikdə CVE-2021-44228 istismar ehtimalı yüksək olduğundan, onlar bərpa səylərini ən çox ehtiyac duyduqları yerlərə yönəldirlər.
- Proaktiv Müdafiə: EPSS təhlükəsizlik qruplarına istismar edilmə ehtimalı olan zəifliklərə qarşı qabaqlayıcı tədbirlər görməyə imkan verir və uğurlu hücumlar riskini azaldır.
- Kontekstual Decisİon əmələ gətirmə: EPSS əlavə kontekst təmin edir CVSS Təkcə hücum edənlər tərəfindən aktiv şəkildə hədəf alınan zəifliklərin müəyyən edilməsi kimi çatışmazlıqlar yarana bilər. Bu, daha məlumatlı və strateji həllərə gətirib çıxarırcision əmələ gətirmə.
- Resurs Optimizasiyası: Məhdud resursları olan təşkilatlar üçün, EPSS daha təsirli müdafiə strategiyasını təmin edərək, səyləri ən böyük təhlükə yaradan zəifliklərə səmərəli şəkildə ayırmağa kömək edir.
EPSS-in məhdudiyyətləri
Üstünlüklərinə baxmayaraq, EPSS məhdudiyyətlərə malikdir. O, tarixi məlumatlara əsaslanır və bu məlumatlar həmişə mövcud təhlükə mənzərəsini əks etdirməyə bilər. Onun 30 gün ərzində istismarın proqnozlaşdırılmasına qısamüddətli diqqəti uzunmüddətli təhlükələri nəzərdən qaçıra bilər.
EPSS fərdi mühitlərin spesifik kontekstini nəzərə almadan ümumi məlumatlar təqdim edir. Nəhayət, bu, hücum texnikalarındakı sürətli dəyişiklikləri və ya yeni aşkar edilmiş zəiflikləri əks etdirməyə biləcək keçmiş istismar nümunələrindən asılıdır.
Optimal Zəiflik İdarəetməsi üçün CVE və EPSS-in balanslaşdırılması
Zəiflikləri effektiv şəkildə idarə etmək üçün təşkilatlar hər ikisinin məhdudiyyətlərini başa düşməli və həll etməlidirlər CVSS və EPSSBu alətlərin inteqrasiyası həssaslıq mənzərəsinə daha əhatəli bir baxış verir. Bu yanaşma, ciddiliyi istismar ehtimalı ilə balanslaşdırır və daha yaxşı prioritetləşdirməyə, məlumatlı yanaşmaya gətirib çıxarır.cision əmələ gətirmə və kibertəhlükəsizlik nəticələrinin yaxşılaşdırılması.
Kritik Zəifliklərə Prioritet Vermək Çətinliyini Həll Edir
Bu bloq boyunca CVE qiymətləndirməsinin incəliklərini, Milli Zəiflik Məlumat Bazasının (NVD) mühüm rolunu və İstismar Proqnozlaşdırma Qiymətləndirmə Sistemi (EPSS) kimi alətlərin istismar ehtimalını proqnozlaşdırmaqla zəifliklərin idarə edilməsinə necə dərinlik qatdığını araşdırdıq. Lakin, zəifliklərin effektiv idarə olunması yalnız bu anlayışları anlamaqdan daha çox şey tələb edir - bu, təşkilatınızın xüsusi təhlükəsizlik ehtiyaclarına uyğunlaşan hərtərəfli bir yanaşma tələb edir.
Təxminən 176,000 məlum zəiflik, 19,000-dən çoxunun CVSS balı 9.0-10.0 arasında dəyişir ki, bu da kritik riskləri göstərir. Bununla belə, əksəriyyəti - təxminən 77.5%-i - 4.0-8.0 orta səviyyəli bal arasındadır. Bu geniş paylanma çətinliyi vurğulayır: hansı zəifliklərin ilk növbədə həll ediləcəyini və güclü müdafiəni qoruyarkən məhdud resurslarla bunu necə edəcəyini prioritetləşdirmək.
Xygeni-nin Proqram Təminatı Tərkibi Təhlili (SCA) Həll yolu, CVE qiymətləndirməsini EPSS və digər kontekstual alətlərlə inteqrasiya etməklə bu problemi həll edir və sizə zəiflik mənzərənizin tam mənzərəsini verir. Həll yolumuz, NPM, GitHub və OWD daxil olmaqla birdən çox mənbədə kod bazanızı diqqətlə araşdırır və potensial təhlükəsizlik təhdidlərini qaçırmamağınızı təmin edir.
Xygeni necə SCA Həll yolu CVE Qiymətləndirməsini Fəaliyyətə Çevirir
2025-ci ildə dərc edilmiş 48,185 CVE-dən 38%-i Yüksək və ya Kritik dərəcəli kimi qiymətləndirilmiş və il üçün orta CVSS balı 6.60 olmuşdur. Bu, eyni məhdud bərpa resursları uğrunda yarışan çoxlu sayda "kritik" və "yüksək" etiketlərdir və bu, 2025 CVE-lərin yalnız 28%-nin ilk növbədə tam NVD zənginləşdirilməsini aldığını nəzərə almadan əvvəldir.
Xygeni-nin Proqram Təminatı Tərkibi Təhlili (SCA) Həll yolu, CVE qiymətləndirməsini EPSS və əlavə kontekstual siqnallarla inteqrasiya etməklə bu problemi həll edir və NVD-nin müəyyən bir CVE-ni zənginləşdirməyə öyrəşib-yetişməməsindən asılı olmayaraq, sizə zəiflik mənzərənizin tam mənzərəsini verir. Kod bazanızı npm, GitHub və digər açıq mənbəli reyestrlər üzərindən skan edir ki, heç bir şey diqqətdən kənarda qalmasın.
Budur, həssaslığın idarə edilməsi strategiyanızı necə tamamlayır:
- CVE Qiymətləndirmə + EPSS İnteqrasiyası. Ciddilik (CVSS) ilə istismar ehtimalı (EPSS) birləşdirmək, komandanızın yalnız kağız üzərində ən yüksək bal toplayanları deyil, əslində təbiətdə istismar edilənləri əvvəlcə düzəltməsi deməkdir.
- Əlçatanlıq Təhlili. Xygeni, "bu CVE asılılıq ağacınızda mövcuddur" ilə kifayətlənmir. O, həssas kod yolunun tətbiqinizdə həqiqətən əlçatan olub-olmadığını müəyyən edir, səs-küyü kəskin şəkildə azaldır və bərpa işlərini istismar edilə bilən riskə yönəldir.
- Kontekstual Şüur. Xygeni, eyni anda birdən çox məsləhət mənbəyindən və qiymətləndirmə sistemlərindən istifadə etməklə, hamıya uyğun bir ciddilik balını tətbiq etmək əvəzinə, təşkilatınızın spesifik mühitinə uyğunlaşır.
- Davamlı Monitorinq və Real Zaman Xəbərdarlıqları. Yeni CVE-lər və yeni EPSS balları daim dərc olunur. Xygeni davamlı olaraq monitorinq aparır, buna görə də dünən az prioritetli olan və bu gün fəal şəkildə istifadə edilən bir zəiflik diqqətdən kənarda qalmır.
Nəticə: Yeni CVE-lərin üçdə birindən çoxu artıq Yüksək və ya Kritik olaraq qeyd edildiyi və NVD zənginləşdirilməsi hər il daha da geridə qaldığı üçün hər tapıntını əl ilə sıralamaq real deyil. Xygeni, komandanızın mühitinizdə həm ciddi, həm də həqiqətən istismar edilə bilən kiçik hissəyə diqqət yetirməsinə kömək edir.
Demo tələb edin or Pulsuz başlayın Xygeni-nin CVE ballarını prioritetləşdirilmiş, tətbiq oluna bilən zəiflik idarəetmə strategiyasına necə çevirdiyini görmək.
FAQ
CVE, CVSS və NVD arasındakı fərq nədir?
CVE müəyyən bir zəiflik üçün unikal identifikatordur. CVSS (Ümumi Zəiflik Qiymətləndirmə Sistemi) həmin zəifliyin şiddətini 0-dan 10-a qədər qiymətləndirmək üçün istifadə olunan qiymətləndirmə çərçivəsidir. NVD (Milli Zəiflik Verilənlər Bazası), NIST tərəfindən saxlanılan və hər bir CVE-ni CVSS balı, təsvirləri və bərpa istinadları ilə zənginləşdirən depodur.
EPSS nədir və CVSS-dən nə ilə fərqlənir?
EPSS (İstismar Proqnozlaşdırma Qiymətləndirmə Sistemi) real dünya istismar məlumatlarına əsasən növbəti 30 gün ərzində zəifliyin istismar olunma ehtimalını qiymətləndirir. CVSS potensialı ölçür sərtlik istismar olunarsa; EPSS ölçür ehtimalı istismar. Hər ikisinin birlikdə istifadəsi, hər ikisindən ayrı-ayrılıqda istifadə etməkdən daha dəqiq prioritetləşdirmə siqnalı verir.
Niyə yüksək deyil CVSS balı zəifliyə üstünlük vermək üçün kifayətdirmi?
CVSS balı real riski deyil, nəzəri ciddiliyi əks etdirir. Xüsusi kod bazanızda əlçatan olmayan və ya aktiv istismarı məlum olmayan 9.8 ballıq "kritik" zəiflik, hücum edənlərin hazırda aktiv şəkildə istismar etdiyi "orta" zəiflikdən daha aşağı prioritet ola bilər. Buna görə CVSS-i EPSS və əlçatanlıq təhlili ilə birləşdirmək vacibdir.
Hər il neçə CVE nəşr olunur?
CVE həcmi ildən-ilə ardıcıl olaraq artmış və hər il on minlərlə yeni zəiflik aşkar edilmişdir. Bu miqyas nəzərə alınmaqla, əl ilə çeşidləmə əksər təşkilatlar üçün real deyil, buna görə də avtomatlaşdırılmış, kontekstə uyğun prioritetləşdirmə (CVSS + EPSS + əlçatanlıq) vacib hala gəlmişdir.
CVE-2021-44228 (Log4Shell) nədir və niyə nümunə kimi istifadə olunur?
Log4Shell, Apache Log4j 2-də CVSS-də 10.0 (maksimum) bal toplayan kritik uzaqdan kod icrası zəifliyidir. Şəbəkə əsaslı istismar qabiliyyətini, heç bir imtiyaz tələb olunmadığını və istifadəçi qarşılıqlı əlaqəsinin olmamasını birləşdirdiyinə görə tədris nümunəsi kimi geniş istifadə olunur və CVSS çərçivəsində "kritik"in necə göründüyünü dəqiq göstərir.
