CVEへの早期アクセス

VulnCheck エクスプロイト＆脆弱性インテリジェンスは、ベンダーアドバイザリが監視されている場合やエクスプロイトが発見された場合、NVDでまだNISTによって公開されていないCVEに関する早期アクセス情報を提供することがよくあります。

概要

VulnCheck エクスプロイト＆脆弱性インテリジェンスは、数百のベンダーおよび政府のアドバイザリを追跡する自律型システムであり、それらのデータをVulnCheckのクラス最高のエクスプロイトインテリジェンスと結び付けています。NISTがNational Vulnerability Database (NVD)で公開するCVEレコードに関しては、公開に遅れが生じることがよくあります。VulnCheck エクスプロイト＆脆弱性インテリジェンスはNVDだけでなく、さらに多くのソースを監視しており、NISTがNVDで公開する前に将来のCVEに関する早期情報を得ることができます。

例：ルート原因 - CVEナンバリング機関 (CNA) の公開

CVEナンバリング機関 (CNA) がベンダーアドバイザリやブログ投稿を通じてCVEを公開することがありますが、その際、NISTがCVEレコードを公開する前に行われることが多いです。このような場合、CVEはまだNVDで「RESERVED」としてマークされています。これは、CVEがCNAにブロックとして割り当てられているものの、公の場で活発に使用されており、その後にNISTによってNVDで公開されるためです。

VulnCheckが提供する早期アクセス：未公開のCVEへのアクセス

VulnCheck エクスプロイト＆脆弱性インテリジェンスがCNAのようなベンダーアドバイザリを監視している場合、VulnCheckの顧客はNIST NVDの公開遅延による影響を受けません。VulnCheck エクスプロイト＆脆弱性インテリジェンスは、NISTによってNVDで「RESERVED」としてマークされているCVEや、NISTでまだ公開されていないCVEを含む、監視されたベンダーやエクスプロイトソースのCVEリファレンスを提供できるからです。

例：PwnKit (CVE-2021-4034)

PwnKit脆弱性 (CVE-2021-4034) は、Qualysの研究チームによって発見され、2022年1月25日に公開されました。同じ日、2022年1月25日に、DebianやRed Hatなど、多くのベンダーアドバイザリが公開されました。実際、Red HatはこのCVEの責任を持つCVEナンバリング機関 (CNA) でした。

さらに、2022年1月25日には、GitHubを含むいくつかの場所で、多数のエクスプロイトが公開されました。

NIST National Vulnerability Databaseは、元のPwnKit (CVE-2021-4034) 脆弱性レコードを2022年1月28日にNVDに掲載しました。そのため、NVDに依存している組織は、脆弱性の開示や野生のエクスプロイトに気づかずにいたことになります。