The Anatomy of a CVE: How Commvault Protects Its Customers

Punti di forza

• Un CVE è un identificatore univoco a livello globale che contraddistingue una vulnerabilità software resa pubblica, consentendo a fornitori, ricercatori e responsabili della sicurezza di farvi riferimento in modo coerente.
• L’approccio di un’organizzazione alla segnalazione delle vulnerabilità — che comprende correzioni coordinate, il coinvolgimento dei ricercatori e un inventario accurato del software — è un indicatore significativo della maturità complessiva in materia di sicurezza.
• Commvault tutela i propri clienti grazie a un programma CVE improntato alla trasparenza, alla regolarità e alla chiarezza. La divulgazione delle vulnerabilità CVE la dice lunga sulla maturità di un programma di sicurezza e di ingegneria.

Perché è importante

Molte violazioni che coinvolgono i vertici aziendali sono riconducibili a vulnerabilità nel software. Il sistema utilizzato dall’intero settore per denominare e descrivere tali vulnerabilità è il CVE, ovvero Common Vulnerabilities and Exposures. Il modo in cui un fornitore, o la propria organizzazione, gestisce i CVE è uno degli indicatori più evidenti della maturità in materia di sicurezza.

Un’azienda che comunica le vulnerabilità e riconosce equamente il merito ai ricercatori è solitamente un’azienda che prende sul serio l’ingegneria alla base del proprio lavoro. Questo blog spiega come viene creato un CVE, chi gestisce il sistema e cosa distingue una comunicazione esemplare da una scadente.

Oltre il CVE: perché la filosofia della divulgazione è importante

La pubblicazione di un CVE è un requisito minimo. Gli elementi che fanno la differenza sono: la trasparenza riguardo alla vulnerabilità e alla patch, l’esecuzione regolare di scansioni e l’applicazione delle patch, nonché una comunicazione chiara. Commvault considera la divulgazione delle vulnerabilità una disciplina ingegneristica e di sicurezza, piuttosto che un semplice requisito di conformità da spuntare: stabiliamo una cadenza regolare per la revisione del codice e la correzione delle vulnerabilità, comunichiamo le soluzioni adottate in un linguaggio semplice e proteggiamo i nostri clienti. È proprio questa coerenza, più di qualsiasi singolo punteggio, a dimostrare la maturità in materia di sicurezza attraverso la divulgazione dei CVE.

Che cos’è in realtà un CVE?

Un CVE non è una patch, un punteggio né un malware. È una voce di dizionario che assegna a una specifica vulnerabilità, nota al pubblico, un nome permanente e univoco, in modo che chiunque possa farvi riferimento. L’identificatore stesso segue un formato semplice e stabile: le lettere CVE, l’anno di assegnazione dell’ID e un numero progressivo, ad esempio CVE-2021-44228.

La portata del programma è enorme e continua a crescere:nel 2025 sono stati pubblicati 48.000 CVE, ovvero circa 132 al giorno, con un aumento di oltre il 260% rispetto al 2020.

L’anatomia di un singolo disco

Le pubblicazioni CVE richiedono una serie coerente di elementi. Leggerne una è semplice una volta compreso lo scopo di ciascuna parte:

• Identificatore: il codice univoco CVE-YYYY-NNNNN
• Descrizione: una spiegazione sintetica della vulnerabilità: di cosa si tratta e in che modo un malintenzionato potrebbe sfruttarla.
• Quali prodotti e versioni, quali che siano (software, hardware o firmware) e quali che siano le versioni, sono interessati dal problema e quali versioni contengono la correzione.
• Criticità: la categoria di criticità sottostante.
• Riferimenti, link all’avviso del fornitore, alla patch e alle note tecniche.

I protagonisti secondari: CVSS, CWE, EPSS e KEV

Quattro sistemi complementari trasformano un CVE in un elemento a cui un’azienda può attribuire priorità. È facile confonderli, quindi vale la pena tenere ben presente la distinzione:

• Il CVSS (Common Vulnerability Scoring System) risponde alla domanda: «Quanto è grave?». Il CVSS indica il livello di gravità (da 1 a 10, dove 10 indica il livello più grave) della vulnerabilità, non una valutazione della vostra esposizione specifica.
• L’EPSS (Exploit Prediction Scoring System) risponde alla domanda: «Quante probabilità ci sono che questa vulnerabilità venga sfruttata a breve?». L’EPSS genera un punteggio di probabilità, compreso tra lo zero e il 100%, che stima la probabilità che una vulnerabilità venga sfruttata nei prossimi 30 giorni.
• Il CWE (Common Weakness Enumeration) risponde alla domanda: «Che tipo di errore ha causato?». Il CWE classifica la vulnerabilità di codifica sottostante.
• Il KEV (Known Exploited Vulnerabilities, vulnerabilità note e sfruttate) risponde alla domanda: «È in corso uno sfruttamento ai danni degli utenti in questo momento?». Il catalogo KEV è un elenco aggiornato di CVE per i quali è stato confermato uno sfruttamento nel mondo reale.

Un punteggio CVSS elevato indica la potenziale gravità di una vulnerabilità, un punteggio EPSS elevato indica la probabilità che venga sfruttata in tempi brevi, mentre la presenza nel catalogo KEV conferma che lo sfruttamento è già in atto. I migliori programmi di gestione delle vulnerabilità tengono conto di tutti e tre questi fattori.

Domande frequenti

D: Che cos’è un CVE e perché è importante? R: Un Common Vulnerability and Exposure (CVE) è un identificatore standardizzato assegnato a una vulnerabilità software resa pubblica. Consente a tutti — dai fornitori e ricercatori alle autorità di regolamentazione e ai clienti — di riferirsi alla stessa vulnerabilità senza ambiguità.

D: Quali informazioni dovrebbe contenere un record CVE ben strutturato?
R: Un record CVE completo richiede un identificatore univoco, una descrizione della vulnerabilità, i prodotti e le versioni interessati, il livello di gravità e i riferimenti agli avvisi o alle patch del fornitore. Questi elementi consentono alle organizzazioni di comprendere la propria esposizione e di reagire in modo efficiente.

D: In che modo CVSS, CWE, EPSS e KEV differiscono da un CVE? R: Un CVE identifica una vulnerabilità specifica, mentre il CVSS ne misura la gravità, l’EPSS stima la probabilità di sfruttamento a breve termine, il CWE classifica la debolezza di codifica sottostante e il KEV identifica le vulnerabilità attivamente sfruttate nel mondo reale. Insieme, questi framework contribuiscono a fornire il contesto necessario per stabilire le priorità nelle misure correttive.

D: Quali sono i criteri che Commvault applica alle proprie pratiche di divulgazione? R: Commvault applica alle proprie divulgazioni gli stessi standard che si aspetta dagli altri: trasparenza, regolarità e chiarezza. È così che Commvault tutela i propri clienti.

D: Quali aspetti dovrebbero prendere in considerazione i dirigenti aziendali nel valutare le pratiche di gestione delle vulnerabilità dei fornitori? R: I dirigenti dovrebbero verificare la presenza di tempistiche coordinate per la divulgazione, registri CVE completi e accurati, linee guida chiare per la risoluzione dei problemi, programmi di segnalazione affidabili e la capacità di determinare rapidamente se i prodotti sono interessati da vulnerabilità appena divulgate. Queste caratteristiche riflettono una solida cultura della sicurezza e migliorano la resilienza organizzativa.Werner Nel È Principal Product Experience Manager presso Commvault.