A Agência de Infraestrutura e Segurança Cibernética (CISA) do Departamento de Segurança Interna dos EUA assumiu a responsabilidade de atribuir identificadores de Enumeração de Vulnerabilidade Comum (CVE) para vulnerabilidades de software em duas indústrias específicas – dispositivos médicos e sistemas de controle industrial – como parte de uma expansão planejada no número de organizações que gerenciam informações de vulnerabilidade, de acordo com a CISA e a empresa contratada pelo governo MITRE.
A CISA, que informa e gerencia o risco de segurança cibernética para os Estados Unidos, se tornará a chamada “Autoridade Numérica CVE (CNA) de nível raiz”, gerenciando inicialmente sete organizações diferentes: Alias Robotics, ABB, CERT @ VDE , Gallagher Group, Johnson Controls, Robert Bosch e Siemens. Cada uma das organizações emite CVEs para seus próprios produtos – ou, no caso da CERT @ VDE , uma organização técnica alemã, para os parceiros do grupo na indústria de automação – mas a CISA supervisionará o programa e expandirá a associação entre essas indústrias.
A adição do CISA marca a primeira vez que o MITRE tem “uma organização de pares dentro do programa”, disse Chris Levendis, membro do conselho do Programa CVE e engenheiro de sistemas principal do MITRE.
“Eles terão as mesmas responsabilidades do MITRE CNA”, afirma. “Eles são responsáveis, por exemplo, por recrutar e integrar novos CNAs dentro de seu escopo de ICS e dispositivo médico, garantindo a atribuição de varejo de IDs de CVE dentro de seu escopo, julgando disputas dentro de seu escopo [e] participando de grupos de trabalho do programa … Eles são responsáveis por garantir a divulgação coordenada e responsável da vulnerabilidade dentro de seu escopo. “
Os grupos de nível raiz da CISA e do MITRE se reportarão à diretoria que gerencia o programa CVE, de acordo com o anúncio de 15 de setembro . Embora a Equipe de Resposta a Emergências de Computadores do Japão (JP-CERT) seja atualmente designada como Autoridade de Numeração CVE (CNA) de nível raiz, o grupo atualmente não gerencia nenhuma outra CNAs subsidiária, de acordo com o MITRE.
“Continuar a encorajar a divulgação pública e transparente de sistemas de controle industrial e vulnerabilidades de dispositivos médicos é uma missão crítica para a CISA”, disse Bryan Ware, diretor assistente de segurança cibernética da CISA, em um comunicado . “Esta expansão incentivará mais fornecedores a participarem do programa CVE e permitirá que a CISA dê um melhor suporte às partes interessadas à medida que se tornam mais engajadas.”
A adição do CISA continua os esforços do MITRE para aumentar a participação no programa CVE após um período problemático entre 2014 e 2016 que levou a quebras de processo e atrasos crescentes na atribuição de identificadores CVE a vulnerabilidades. O programa CVE adotou uma abordagem de gestão federada que expandiu o número de CNAs de menos de duas dúzias em 2016 para 139 em 16 de setembro . Em parte como resultado, o número de vulnerabilidades documentadas quase triplicou de menos de 6.500 em 2016 para mais de 17.300 no ano passado.
O MITRE continua trabalhando para expandir o programa, diz Levendis.
“O objetivo do programa CVE é escalar o programa por meio de sua estratégia de crescimento federado”, diz ele. “O programa CVE pretende adicionar mais CNAs raiz conforme os participantes dispostos são identificados. Isso permite a governança federada e distribuída e a operação do programa CVE por uma comunidade engajada de partes interessadas.”
Somente no ano passado, o programa CVE adicionou como CVE Numering Authorities uma variedade de empresas que gerenciam repositórios significativos de código. Tanto o GitHub quanto o Gitlab – que hospeda o código para um grande número de projetos de código aberto e repositórios de software privados – se tornaram CNAs este ano, por exemplo.
A adição de um CNA de gerenciamento para as indústrias de dispositivos médicos e sistema de controle industrial (ICS) deve resultar em mais cobertura de software nesses setores e, como resultado, um maior número de vulnerabilidades, diz Chris Wysopal, fundador e diretor de tecnologia da Veracode, empresa de segurança de aplicativos.
“Isso deve dar capacidade extra para nomear vulnerabilidades exclusivas e obter as informações para o fornecedor apropriado para vulnerabilidades de ICS e dispositivos médicos”, diz ele. “Quando você olha a lista CNA, não há muitos fornecedores de ICS e nem um único fornecedor de dispositivo médico. Como o número de produtos de software individuais, pacotes de código aberto, IoT e dispositivos incorporados continua a se expandir rapidamente, isso deve ajudar mais vulnerabilidades sejam nomeadas e tratadas adequadamente. “
À medida que o conselho CVE continua a expandir o número de CNAs e CNAs de nível raiz, o número geral de vulnerabilidades provavelmente aumentará, diz Wysopal.
“O programa CVE foi concebido em um mundo diferente antes de SaaS, IoT, ICS conectado por TCP / IP, bibliotecas de código aberto e dispositivos médicos conectados em rede”, diz ele, acrescentando que, por exemplo, mais de 40% das vulnerabilidades em o software de código aberto não teve um identificador CVE atribuído. “Conforme os recursos de teste se expandem para mais plataformas e dispositivos, sem dúvida haverá mais vulnerabilidades para rastrear e gerenciar. Quanto mais pessoas se concentram nesses dispositivos, os números aumentam.”
Uma cidade na Carolina do Norte e um escritório de advogados distritais cobrindo quatro condados…
O surgimento da Nytheon AI marca uma escalada significativa no cenário das plataformas (LLM) de…
Um pesquisador de segurança revelou uma vulnerabilidade crítica de injeção de SOQL no controlador interno…
Falha permite que invasores manipulem o agente de um usuário por meio de um problema…
Um exploit de dia zero, dirigido aos firewalls FortiGate da Fortinet, foi descoberto à venda…
A família SHELBY mostra um exemplo preocupante de malware moderno com design modular, sofisticado e…