Anatomía de un registro CVE

CVE significa Common Vulnerabilities and Exposures. Un identificador tiene la forma CVE-año-número y nombra una vulnerabilidad concreta: una sola cosa, que puede referirse desde cualquier herramienta. No lleva puntuación, no nombra un producto y no dice cómo se arregla: eso vive en el registro y en otras fuentes que apuntan al identificador.

Un registro CVE en formato JSON 5 se divide en dos zonas. cveMetadata guarda los datos del identificador: el número, el estado, quién lo asignó y las fechas. containers guarda el contenido: lo escribe el CNA que asignó el número (containers.cna) y puede añadirse el de otros publicadores autorizados.

El campo cveMetadata.assignerShortName guarda el nombre corto de la organización que asignó el identificador. Esa organización es el CNA del registro, y es quien responde por el contenido de containers.cna. Saberlo importa porque define de quién es la palabra: si el CNA es el fabricante del producto, el registro es su versión oficial; si es un tercero, puede ir por detrás del fabricante.

Abre el registro del CVE-2099-2301 y localiza el campo.

El bloque cveMetadata trae dateReserved (el día en que se apartó el número), datePublished (el día en que el registro se hizo público) y dateUpdated (la última modificación). Entre reservar y publicar el número existe pero el contenido no es público. La fecha de publicación no es el día en que se encontró el fallo ni el día en que empezó a explotarse.

Con las fechas de reserva y de publicación puedes medir cuánto tardó el CNA en publicar. Cuenta los días naturales entre ambas.

Un CVE tiene tres estados posibles: RESERVED (el número está apartado y no hay contenido público), PUBLISHED (el registro es público) y REJECTED (el identificador ya no debe usarse: por ejemplo, porque duplica a otro o porque no era una vulnerabilidad). Un registro rechazado conserva el número, pero lleva la fecha de rechazo y su descripción suele indicar el motivo.

Los escáneres asocian el CVE cuando el registro está publicado. Si el registro se rechaza después, el hallazgo puede quedarse apuntando a un identificador sin vigencia. Cruza los hallazgos del escáner con el estado de cada CVE.

El hallazgo que acabas de encontrar sigue abierto en la cola. Su CVE ya no es válido, pero eso no prueba que el fallo no existiera: puede haberse registrado de nuevo bajo otro identificador. Cerrarlo sin más sería tan malo como dejarlo abierto para siempre.