Проблемы с CVE. Разоблачаем баги-пустышки и пишем эксплоит при помощи ChatGPT

Что такое CVE?

CVE (Common Vulnerabilities and Exposures, «извес­тные уяз­вимос­ти и рис­ки») — это стан­дарти­зиро­ван­ный и обще­дос­тупный сло­варь уяз­вимос­тей в ПО и железе. Заведу­ет им Наци­ональ­ный инсти­тут стан­дартов и тех­нологий (NIST) в Соеди­нен­ных Шта­тах. Основная цель CVE — пре­дос­тавить общий язык, на котором мож­но было бы обсуждать уяз­вимос­ти и работать с ними в прог­раммах. CVE исполь­зует­ся во всем мире и дела­ет вза­имо­дей­ствие меж­ду ИБ‑спе­циалис­тами, пос­тавщи­ками и иссле­дова­теля­ми более эффектив­ным.

Что такое CVSS?

CVSS (Common Vulnerability Scoring System, «сис­тема оцен­ки уяз­вимос­тей») — еще один важ­ный инс­тру­мент. Он раз­работан форумом групп реаги­рова­ния на инци­ден­ты и безопас­ности (FIRST) в сот­рудни­чес­тве с NIST. CVSS — это стан­дарти­зиро­ван­ный метод оцен­ки, в рам­ках которо­го уяз­вимос­ти мож­но наз­начить чис­ловой балл, озна­чающий сте­пень угро­зы.

Основные факторы CVSS

Ба­зовый балл осно­ван на фун­дамен­таль­ных атри­бутах уяз­вимос­ти, которые не меня­ются со вре­менем. Вот глав­ные мет­рики, которые при этом берут­ся в рас­чет:

• век­тор ата­ки (Attack Vector, AV);
• слож­ность ата­ки (Attack Complexity, AC);
• тре­буемые при­виле­гии (Privileges Required, PR);
• вза­имо­дей­ствие с поль­зовате­лем (User Interaction, UI);
• об­ласть (Scope, S);
• мет­рики воз­дей­ствия:
  • вли­яние на кон­фиден­циаль­ность (Confidentiality Impact, C),
  • вли­яние на целос­тность (Integrity Impact, I),
  • вли­яние на дос­тупность (Availability Impact, A).

Что­бы уяз­вимость счи­талась таковой, она дол­жна нарушать по край­ней мере один аспект три­ады CIA.