L'anatomia di un CVE: come Commvault protegge i propri clienti

Punti di forza

Un CVE è un identificatore univoco a livello globale che contraddistingue una vulnerabilità software resa pubblica, consentendo a fornitori, ricercatori e responsabili della sicurezza di farvi riferimento in modo coerente.
L’approccio di un’organizzazione alla segnalazione delle vulnerabilità – che comprende correzioni coordinate, il coinvolgimento dei ricercatori e un inventario accurato del software – è un indicatore significativo della maturità complessiva in materia di sicurezza.
Commvault tutela i propri clienti grazie a un programma CVE improntato alla trasparenza, alla regolarità e alla chiarezza. La divulgazione delle vulnerabilità CVE la dice lunga sulla maturità di un programma di sicurezza e di ingegneria.

Perché è importante

Molte violazioni che raggiungono i vertici aziendali sono riconducibili a vulnerabilità nel software. Il sistema utilizzato dall’intero settore per denominare e descrivere tali vulnerabilità è il CVE, ovvero Common Vulnerabilities and Exposures. Il modo in cui un fornitore, o la propria organizzazione, gestisce i CVE è uno degli indicatori più evidenti della maturità in materia di sicurezza.

Un’azienda che comunica le vulnerabilità e riconosce equamente il merito ai ricercatori è solitamente un’azienda che prende sul serio l’ingegneria alla base del proprio lavoro. Questo blog spiega come viene creato un CVE, chi gestisce il sistema e cosa distingue una comunicazione esemplare da una scadente.

Oltre il CVE: perché la filosofia della divulgazione è importante

La pubblicazione di un CVE è un requisito minimo. Gli elementi che fanno la differenza sono: la trasparenza riguardo alla vulnerabilità e alla patch, l’esecuzione regolare di scansioni e l’applicazione delle patch, nonché una comunicazione chiara. Commvault considera la divulgazione delle vulnerabilità una disciplina ingegneristica e di sicurezza, piuttosto che un semplice requisito di conformità da spuntare: stabiliamo una cadenza regolare per la revisione del codice e la correzione delle vulnerabilità, comunichiamo le soluzioni adottate in un linguaggio semplice e proteggiamo i nostri clienti. È proprio questa coerenza, più di qualsiasi singolo punteggio, a dimostrare la maturità in materia di sicurezza attraverso la divulgazione dei CVE.

Che cos’è in realtà un CVE

Un CVE non è una patch, un punteggio né un malware. È una voce di dizionario che assegna a una specifica vulnerabilità, nota al pubblico, un nome permanente e univoco, in modo che chiunque possa farvi riferimento. L’identificatore stesso segue un formato semplice e stabile: le lettere CVE, l’anno di assegnazione dell’ID e un numero progressivo, ad esempio CVE-2021-44228.

La portata del programma è enorme e continua a crescere: nel 2025 sono stati pubblicati 48.000 CVE, ovvero circa 132 al giorno, con un aumento di oltre il 260% rispetto al 2020.

L’anatomia di un singolo disco

Le pubblicazioni CVE richiedono una serie coerente di elementi. Leggerne una è semplice una volta compreso lo scopo di ciascuna parte:

Identificatore, il codice univoco CVE-AAAA-NNNNN
Descrizione: una spiegazione concisa della vulnerabilità: di cosa si tratta e in che modo un malintenzionato potrebbe sfruttarla.
Prodotti e versioni interessati: quali software, hardware o firmware (e quali versioni) sono interessati dal problema e quali versioni contengono la correzione.
Gravità: la categoria di gravità associata.
Riferimenti: link all’avviso del fornitore, alla patch e alle note tecniche.

I protagonisti secondari: CVSS, CWE, EPSS e KEV

Quattro sistemi complementari trasformano un CVE in un elemento a cui un’azienda può attribuire priorità. È facile confonderli, quindi vale la pena tenere ben presente la distinzione:

Il CVSS (Common Vulnerability Scoring System) risponde alla domanda: «Quanto è grave?». Il CVSS rappresenta il livello di gravità (da 1 a 10, dove 10 indica il livello più grave) della vulnerabilità, non una valutazione della vostra esposizione specifica.
L’EPSS (Exploit Prediction Scoring System) risponde alla domanda: «Quante probabilità ci sono che questa vulnerabilità venga sfruttata a breve?». L’EPSS genera un punteggio di probabilità, compreso tra lo zero e il 100%, che stima la probabilità che una vulnerabilità venga sfruttata nei prossimi 30 giorni.
Il CWE (Common Weakness Enumeration) risponde alla domanda: «Che tipo di errore l’ha causata?». Il CWE classifica la vulnerabilità di codifica sottostante.
Il KEV (Known Exploited Vulnerabilities, vulnerabilità note e sfruttate) risponde alla domanda: «È in corso uno sfruttamento contro gli utenti in questo momento?». Il catalogo KEV è un elenco curato di CVE per i quali è stato confermato uno sfruttamento nel mondo reale.

Un punteggio CVSS elevato indica la potenziale gravità di una vulnerabilità, un punteggio EPSS elevato indica la probabilità che venga sfruttata a breve, mentre la presenza nel catalogo KEV conferma che lo sfruttamento è già in atto. I migliori programmi di gestione delle vulnerabilità tengono conto di tutti e tre questi fattori.

Domande frequenti

D: Che cos’è un CVE e perché è importante? R: Un Common Vulnerability and Exposure (CVE) è un identificatore standardizzato assegnato a una vulnerabilità software resa pubblica. Consente a tutti – dai fornitori e ricercatori alle autorità di regolamentazione e ai clienti – di riferirsi alla stessa vulnerabilità senza ambiguità.

D: Quali informazioni dovrebbe contenere un record CVE ben strutturato?
R: Un record CVE completo richiede un identificatore univoco, una descrizione della vulnerabilità, i prodotti e le versioni interessati, il livello di gravità e i riferimenti agli avvisi o alle patch del fornitore. Questi elementi consentono alle organizzazioni di comprendere la propria esposizione e di reagire in modo efficiente.

D: In che modo CVSS, CWE, EPSS e KEV differiscono da un CVE? R: Un CVE identifica una vulnerabilità specifica, mentre il CVSS ne misura la gravità, l’EPSS stima la probabilità di sfruttamento a breve termine, il CWE classifica la debolezza di codifica sottostante e il KEV identifica le vulnerabilità attivamente sfruttate nel mondo reale. Insieme, questi framework contribuiscono a fornire il contesto necessario per stabilire le priorità nelle misure correttive.

D: Quali sono i criteri che Commvault applica alle proprie pratiche di divulgazione? R: Commvault applica alle proprie divulgazioni gli stessi standard che si aspetta dagli altri: trasparenza, regolarità e chiarezza. È così che Commvault tutela i propri clienti.

D: Quali aspetti dovrebbero prendere in considerazione i dirigenti aziendali nel valutare le pratiche di gestione delle vulnerabilità dei fornitori? R: I dirigenti dovrebbero verificare la presenza di tempistiche coordinate per la divulgazione, registri CVE completi e accurati, linee guida chiare per la risoluzione dei problemi, programmi di segnalazione affidabili e la capacità di determinare rapidamente se i prodotti sono interessati da vulnerabilità appena divulgate. Queste caratteristiche riflettono una solida cultura della sicurezza e migliorano la resilienza organizzativa. Werner Nel è Principal Product Experience Manager presso Commvault.