😱 Критический Удар по Кибербезу: США Останавливают Финансирование CVE.
😱 Критический Удар по Кибербезу: США Останавливают Финансирование CVE.
Правительство США (через DHS/CISA) прекращает финансирование программы CVE (Common Vulnerabilities and Exposures), оператором которой является MITRE. Контракт истёк вчера, 16 апреля. Да, той самой программы CVE, которая присваивает уникальные идентификаторы (CVE-2014-0160, CVE-2017-5754 и т.д.) всем известным мировым уязвимостям в софте и железе.
Почему это катастрофа (потенциально)?
-
CVE – фундамент глобального управления уязвимостями. На эти ID опираются вендоры, исследователи, сканеры безопасности, системы патч-менеджмента, регуляторы – практически все в ИБ.
-
Риск хаоса: Без централизованной системы присвоения ID может начаться путаница, как в "старые добрые" времена до CVE, когда каждая компания называла одну и ту же дыру по-своему. Представьте себе патчинг или комплаенс в таких условиях. В прошлом году было опубликовано >40 000 новых CVE!
-
Неопределенность: Неясно, будут ли публиковаться новые CVE, будет ли работать сайт программы (cve.mitre.org), как будут обновляться базы уязвимостей (NVD)? Исторические данные CVE, к счастью, останутся доступны на GitHub.
Что дальше? Пока неясно. MITRE подтвердила окончание финансирования, но заявила о приверженности программе. Компания VulnCheck (один из CNA – центров присвоения CVE) превентивно зарезервировала 1000 ID на 2025 год, но этого хватит максимум на 1-2 месяца работы MITRE. Вероятно, потребуется вмешательство всей индустрии или поиск новых источников финансирования. Причина – поиск администрацией Трампа статей для урезания федерального бюджета.
Похоже, скоро главным инструментом для трекинга уязвимостей снова станет Excel-таблица 😨