CVE
Common Vulnerabilities and Exposures: un catalogo pubblico che assegna un identificativo univoco a ogni vulnerabilità di sicurezza divulgata, così da poterla tracciare tra fornitori e strumenti.
Un identificativo CVE, come CVE-2021-44228 per la falla di Log4j, è un nome su cui tutti concordano. Avvisi di sicurezza, scanner, note di patch e articoli di cronaca fanno riferimento alla stessa voce, e database come l’NVD del NIST aggiungono punteggi di gravità e intervalli di versioni interessate. Per un produttore IoT, confrontare l’SBOM della flotta con i nuovi CVE è la routine che trasforma una divulgazione in un piano di patch.
Non tutte le falle ricevono un CVE, e un CVE in una libreria non significa sempre che un prodotto sia sfruttabile: la funzione vulnerabile potrebbe non essere mai chiamata. Valutarlo, documentare il risultato e distribuire un aggiornamento OTA quando serve è il cuore della gestione delle vulnerabilità che il Cyber Resilience Act e norme simili impongono ai produttori per tutto il periodo di supporto di un prodotto.
Parte del Glossario IoT. Hai trovato un errore o manca un termine? Scrivici.