CVE (共通脆弱性識別子)

Common Vulnerabilities and Exposures 概念・規格

公開された脆弱性に付与される世界共通の識別番号。

概要

CVE(Common Vulnerabilities and Exposures)は、ソフトウェアやハードウェアで公開された脆弱性に付与される世界共通の識別番号です。米MITRE社が運営し、`CVE-2024-12345` のように「CVE-西暦-連番」の形式で表記されます。脆弱性情報を世界中で一意に参照できるよう標準化されています。

各CVEには、(1) 影響を受ける製品とバージョン、(2) 脆弱性の種類(SQLi・RCE・権限昇格等)、(3) 深刻度を数値化したCVSS(Common Vulnerability Scoring System)スコア、(4) 推奨される対処方法、が紐づきます。CVSSスコア9.0以上は「Critical」とされ、即時対応が必要です。

運用面では、(1) 利用しているOS・ミドルウェア・ライブラリ・CMS・プラグインのCVE情報を継続的にウォッチ、(2) パッチ適用の優先順位をCVSSスコアと攻撃の活発度から判断、(3) 修正不可能な場合は緩和策(WAFルール・アクセス制限)を適用、というサイクルが必要です。

Scanrollはこう守る

Scanrollは、Webサーバー上のソフトウェアバージョン情報や、攻撃者が特定CVEを狙った既知の攻撃パターンを監視し、該当する不審アクセスを自動遮断します。お客様のWebサーバー環境で重大なCVEに該当する状態が確認された場合は、ダッシュボードと通知メールで対応をご案内します。