Вице-президент MITRE Йосри Барсум предупредил, что финансирование со стороны правительства США программ Common Vulnerabilities and Exposures (CVE) и Common Weakness Enumeration (CWE) истекает сегодня. Система, более известная под аббревиатурой CVE, десятилетиями служила универсальным стандартом для идентификации уязвимостей для ИБ сообщества.
MITRE выполняет роль главного координатора CVE, а также присваивает уникальные номера уязвимостям через сеть доверенных организаций. Как подчеркнул бывший глава CISA Джин Истерли, потеря CVE будет равносильна тому, как если бы во всех библиотеках мира внезапно исчезли каталоги.
В открытом письме к членам совета CVE вице-президент MITRE Йосри Барсум заявил, что прекращение контракта затрагивает не только CVE, но и связанные с ним программы, в том числе CWE. Он предупредил об угрозе паралича в национальных базах уязвимостей, у поставщиков защитного ПО и в службах реагирования на инциденты.
Представители DHS, NIST и Минобороны пока не предоставили конкретных решений. Лишь CISA заявила, что срочно ищет временные способы поддержать работу CVE и свести к минимуму последствия. По мнению основателя Bugcrowd Кейси Эллис, последствия могут перерасти в кризис национальной безопасности.
Журналист Брайан Кребс у себя в блоге пишет, что связался с MITRE и ему подтвердили, что действительно всё так, как сообщается в письме. По его данным, база данных MITRE's CVE, скорее всего, перестанет работать уже завтра.
MITRE сообщили мне, что на данный момент исторические записи CVE будут доступны на GitHub:
https://github.com/CVEProject
Тем временем в самой NIST уже скопился большой необработанный массив CVE, который ждёт верификации и публикации в Национальной базе уязвимостей.
✋ @Russian_OSINT