Tsunami di CVE in Arrivo! Il NIST è in arretrato di 18.000 Vulnerabilità

Il National Institute of Standards and Technology (NIST) ha annunciato di essere in grado di elaborare l’intero arretrato di vulnerabilità non ancora lavorate, ma ha ammesso che non sarà possibile eliminare completamente l’arretrato entro la fine dell’anno.

All’inizio dell’anno si è scoperto che, a causa della riduzione delle risorse del NIST, migliaia di vulnerabilità critiche non erano state analizzate e non erano state arricchite con dati aggiuntivi. L’arricchimento è il processo di aggiunta di informazioni dettagliate su una vulnerabilità all’interno del National Vulnerability Database (NVD).

Con l’aiuto della CISA e di diverse società private, il NIST dispone ora di un team completo di analisti e ha iniziato a elaborare rapidamente tutti i nuovi record di vulnerabilità non appena vengono ricevuti. Inoltre sono state analizzate tutte le vulnerabilità rimaste in coda del catalogo KEV. Ora anche tutte le nuove vulnerabilità vengono elaborate in modo tempestivo.

A settembre, gli esperti di VulnCheck hanno riferito che al 21 settembre più di 18.000 vulnerabilità non erano ancora state elaborate nel database, ovvero circa il 72,4% di tutti i record CVE. Inoltre, quasi la metà di queste vulnerabilità sono già state sfruttate in attacchi, ma non sono state ancora analizzate nel dettaglio.

Il NIST ha osservato che in precedenza prevedeva di gestire l’elaborazione di tutte le vulnerabilità entro la fine dell’anno, ma questo piano si è rivelato troppo ottimistico. Il problema è che i dati provenienti dai fornitori di dati autorizzati (ADP), come CISA, arrivano in formati che richiedono un’elaborazione aggiuntiva. Sono attualmente in fase di sviluppo nuovi sistemi che aiuteranno a elaborare tali dati più velocemente.

Quest’anno CISA è diventata il primo fornitore ufficiale di dati del NIST, consentendo all’agenzia di inserire nuove vulnerabilità direttamente nel sistema. Al momento il NIST non ha specificato se vi siano altri fornitori oltre al CISA.

Nel frattempo, NVD sta introducendo aggiornamenti di sistema a partire dal 18 novembre 2024 che gli consentiranno di raccogliere dati più granulari da fonti certificate (CNA e ADP). Le voci CVE ora includeranno più informazioni come collegamenti, CWE e CVSS, che verranno visualizzati sul sito e tramite l’API. Ciò porterà ad aggiornamenti dei record più frequenti, quindi le aziende dovrebbero essere preparate a maggiori volumi di dati.

Inoltre, NVD migliorerà la gestione dei collegamenti duplicati: i tag verranno applicati automaticamente a tutti i collegamenti duplicati. Verrà aggiornato anche l’ordine in cui gli eventi vengono visualizzati nella cronologia delle modifiche CVE. Verranno eliminati anche i parametri API deprecati come HasCertAlerts e HasOval, rendendo più semplice l’individuazione delle vulnerabilità. Il supporto per la nuova versione di CVSS v4.0 consentirà di valutare in modo più accurato i rischi sulla base di criteri aggiornati.

All’inizio di aprile, gli esperti di sicurezza informatica hanno inviato una lettera al Congresso e al segretario al Commercio degli Stati Uniti Gina Raimondo chiedendo ulteriori finanziamenti per sostenere NVD. La lettera al Congresso sottolinea che il mancato ripristino della funzionalità NVD minaccia la sicurezza di tutti, facendo riferimento a recenti incidenti come l’attacco informatico Change Healthcare che ha paralizzato il settore sanitario per settimane.

L’8 maggio CISA ha annunciato il lancio del programma Vulnrichment per aggiungere metadati alle vulnerabilità. MITRE, che amministra il programma CVE, ha inoltre approvato nuove regole per le organizzazioni che rilasciano CVE. Decine di esperti di sicurezza informatica avevano precedentemente firmato una lettera indirizzata al Congresso e al segretario al Commercio degli Stati Uniti Gina Raimondo, esortando a finanziare e proteggere NVD, definendola “infrastruttura critica per molteplici prodotti di sicurezza informatica“.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks