Tsunami di CVE in Arrivo! Il NIST è in arretrato di 18.000 Vulnerabilità

Redazione RHC : 19 Novembre 2024 07:50

Il National Institute of Standards and Technology (NIST) ha annunciato di essere in grado di elaborare l’intero arretrato di vulnerabilità non ancora lavorate, ma ha ammesso che non sarà possibile eliminare completamente l’arretrato entro la fine dell’anno.

All’inizio dell’anno si è scoperto che, a causa della riduzione delle risorse del NIST, migliaia di vulnerabilità critiche non erano state analizzate e non erano state arricchite con dati aggiuntivi. L’arricchimento è il processo di aggiunta di informazioni dettagliate su una vulnerabilità all’interno del National Vulnerability Database (NVD).

Con l’aiuto della CISA e di diverse società private, il NIST dispone ora di un team completo di analisti e ha iniziato a elaborare rapidamente tutti i nuovi record di vulnerabilità non appena vengono ricevuti. Inoltre sono state analizzate tutte le vulnerabilità rimaste in coda del catalogo KEV. Ora anche tutte le nuove vulnerabilità vengono elaborate in modo tempestivo.

Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber "Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime.  Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.  Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.  Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta RHC attraverso:   L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

A settembre, gli esperti di VulnCheck hanno riferito che al 21 settembre più di 18.000 vulnerabilità non erano ancora state elaborate nel database, ovvero circa il 72,4% di tutti i record CVE. Inoltre, quasi la metà di queste vulnerabilità sono già state sfruttate in attacchi, ma non sono state ancora analizzate nel dettaglio.

Il NIST ha osservato che in precedenza prevedeva di gestire l’elaborazione di tutte le vulnerabilità entro la fine dell’anno, ma questo piano si è rivelato troppo ottimistico. Il problema è che i dati provenienti dai fornitori di dati autorizzati (ADP), come CISA, arrivano in formati che richiedono un’elaborazione aggiuntiva. Sono attualmente in fase di sviluppo nuovi sistemi che aiuteranno a elaborare tali dati più velocemente.

Quest’anno CISA è diventata il primo fornitore ufficiale di dati del NIST, consentendo all’agenzia di inserire nuove vulnerabilità direttamente nel sistema. Al momento il NIST non ha specificato se vi siano altri fornitori oltre al CISA.

Nel frattempo, NVD sta introducendo aggiornamenti di sistema a partire dal 18 novembre 2024 che gli consentiranno di raccogliere dati più granulari da fonti certificate (CNA e ADP). Le voci CVE ora includeranno più informazioni come collegamenti, CWE e CVSS, che verranno visualizzati sul sito e tramite l’API. Ciò porterà ad aggiornamenti dei record più frequenti, quindi le aziende dovrebbero essere preparate a maggiori volumi di dati.

Inoltre, NVD migliorerà la gestione dei collegamenti duplicati: i tag verranno applicati automaticamente a tutti i collegamenti duplicati. Verrà aggiornato anche l’ordine in cui gli eventi vengono visualizzati nella cronologia delle modifiche CVE. Verranno eliminati anche i parametri API deprecati come HasCertAlerts e HasOval, rendendo più semplice l’individuazione delle vulnerabilità. Il supporto per la nuova versione di CVSS v4.0 consentirà di valutare in modo più accurato i rischi sulla base di criteri aggiornati.

All’inizio di aprile, gli esperti di sicurezza informatica hanno inviato una lettera al Congresso e al segretario al Commercio degli Stati Uniti Gina Raimondo chiedendo ulteriori finanziamenti per sostenere NVD. La lettera al Congresso sottolinea che il mancato ripristino della funzionalità NVD minaccia la sicurezza di tutti, facendo riferimento a recenti incidenti come l’attacco informatico Change Healthcare che ha paralizzato il settore sanitario per settimane.

L’8 maggio CISA ha annunciato il lancio del programma Vulnrichment per aggiungere metadati alle vulnerabilità. MITRE, che amministra il programma CVE, ha inoltre approvato nuove regole per le organizzazioni che rilasciano CVE. Decine di esperti di sicurezza informatica avevano precedentemente firmato una lettera indirizzata al Congresso e al segretario al Commercio degli Stati Uniti Gina Raimondo, esortando a finanziare e proteggere NVD, definendola “infrastruttura critica per molteplici prodotti di sicurezza informatica“.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli