عن برنامج CVE

ما الذي يعنيه الرقم

يتكون رقم الثغرة من البادئة CVE ثم السنة ثم رقم تسلسلي من أربع خانات أو أكثر، مثل CVE-2024-3094، والسنة هي سنة حجز الرقم وليست بالضرورة سنة اكتشاف الثغرة أو نشرها، بينما لا يدل التسلسل على الخطورة أو الترتيب الزمني بين الجهات.

ويمر كل رقم بإحدى ثلاث حالات، فهو محجوز حين تحجزه جهة مرقّمة ولم تنشر تفاصيله بعد، ثم منشور حين يصدر سجله بوصف الثغرة والمنتجات المصابة والمراجع، أو مرفوض حين يتبين أنه مكرر أو أنه لا يمثل ثغرة، لذا لا ينبغي الاستناد إلى رقم مرفوض.

كيف يولد السجل

من يشارك في البرنامج

تدير البرنامج مؤسسة MITRE بصفتها أمانته العامة وبرعاية وكالة CISA الأمريكية، ويضع مجلس CVE سياساته، بينما يقع العمل اليومي على الجهات المرقّمة وهي مورّدون وفرق استجابة وباحثون ومنصات مكافآت يحق لكل منها ترقيم الثغرات داخل نطاقه، وتتبع كل جهة جهة جذرية تشرف عليها وتدربها، وتغطي الجهات المرقّمة الأخيرة ما لا يقع في نطاق أي جهة أخرى، أما جهات النشر المعتمدة فتضيف إلى السجلات معلومات من مصادرها.

وتضم القائمة الرسمية اليوم 559 جهة مرقّمة من 43 دولة، وليس بينها جهة من الدول العربية، وهذا طريق جهة ترقيم عربية.

كيف تقرأ السجل في رائد

يبدأ كل سجل بخلاصة عربية تُكتب من حقوله المنظمة، أي من نوع الضعف في تصنيف CWE ومن متجه تقييم الخطورة CVSS واسم المنتج والمورّد، ولا تُترجم آلياً، ثم يأتي الوصف الأصلي كما كتبته الجهة المرقّمة دون تغيير لأنه النص المرجعي، ويُعرض بجانبه تقييم الخطورة مع مصدره، واحتمال الاستغلال خلال الثلاثين يوماً المقبلة من نظام EPSS، وإدراج الثغرة في قائمة CISA للثغرات المستغلة إن وُجد.

والفرق بين المؤشرات الثلاثة مهم، فتقييم CVSS يقيس شدة الأثر لو استُغلت الثغرة، بينما يقدّر EPSS احتمال أن تُستغل، أما قائمة الثغرات المستغلة فتثبت أنها استُغلت فعلاً، لذا تبدأ المعالجة عادة بالمستغلة ثم بما ارتفع احتماله وخطورته معاً.

كم مرة يتجدد الموقع

يقرأ رائد سجل التغييرات الذي ينشره البرنامج كل ساعة، فيجلب كل سجل جديد أو معدّل ويعيد حساب الأعداد، ويحدّث قائمة CISA واحتمالات EPSS يومياً، ثم تصدر النشرة الأسبوعية كل اثنين، ويعرض الموقع آخر ثلاثين يوماً في قوائمه، بينما تفتح صفحة السجل أي رقم منذ بداية البرنامج مباشرة من خدمة CVE الرسمية.