NIST Confusion Continues as Cyber Pros Complain CVE Uploads Stalled
2024/05/14 InfoSecurity — 脆弱性データベースとして、世界で最も信頼されている米国の NVD (National Vulnerability Database) だが、この数ヶ月において最大の危機を迎えており、それに比例してソフトウェア脆弱性の悪用が増加している。2024年2月中旬から、米国の NIST (National Institute of Standards and Technology) が運営する NVD は、脆弱性情報の更新を遅延させてきた。そして 5月9日以降においては、新しい脆弱性の表示を停止していると、ソフトウェア・セキュリティの専門家たちが Infosecurity に語っている。
Continue reading “NIST NVD の混乱が止まらない：新規の CVE 追加が一時的に停止していた”CVE and NVD – A Weak and Fractured Source of Vulnerability Truth
2024/04/03 SecurityWeek — 共通脆弱性識別子 CVE (Common Vulnerabilities and Exposures) のリストと、それに関連する NVD (National Vulnerability Database) だが、脆弱性において一番に信頼すべき情報源とは、もはや考えられなくなっている。現在の CVE システムには改善の余地があり、また、改善すべきものであることを疑う者はいない。米国の DHS (Department of Homeland Security) に支援される、MITRE が管理する CVE リストを、NIST が NVD に統合し、その詳細データを充実させてきた。MITRE が CVE ID の採番や管理を行う一方で、サイバー防衛者たちが脆弱性を評価する上で、拠り所としてきたのが NVD である。
Continue reading “CVE と NVD：脆弱性の正規の情報源は分断されている？”NIST Unveils New Consortium to Operate its National Vulnerability Database
2024/03/28 InfoSecurity — NIST (National Institute of Standards and Technology) が提供してきた、世界で最も利用されているソフトウェア脆弱性リポジトリの管理の一部が、業界コンソーシアムに引き継がれることが正式に決定した。米国商務省の一機関である NIST は、2005年に NVD (National Vulnerability Database ) を立ち上げて以来、ずっと運営を続けてきた。しかし、このデータベースの運営は、早ければ 2024年4月初旬から、審査に合格した組織の手に委ねられることになるという。
Continue reading “NIST NVD の新たなコンソーシアム設立が決定：FIRST カンファレンスでの発表とは？”NIST National Vulnerability Database Disruption Sees CVE Enrichment on Hold
2024/03/15 InfoSecurity — 米国の NIST (National Institute of Standards and Technology) で、不可解なことが起こっている。それにより、数多くの組織が、脅威の影響を被りやすい状況へと陥る可能性がある。2024年2月12日以降において NIST は、NVD (National Vulnerability Database) 上のソフトウェア脆弱性の更新を、ほぼ完全に停止している。NVD とは、ソフトウェア脆弱性データベースであり、世界で最も広く利用されているものだ。
Continue reading “NIST NVD の障害：CVE に紐づくはずのメタデータが提供されていない”Does CVSS 4.0 solve the exploitability problem?
2024/01/31 HelpNetSecurity — 脆弱性スコアリングシステム CVSS の最新版である、CVSS 4.0 が登場した。2015年の CVSS 3.0 のリリースから長い時を経て、2023年11月から、CVSS 4.0 が正式に稼動している。CVSS 3.0 を基に構築された CVSS 4.0 では、脆弱性のスコアリング／認識／分類方法などが改善されている。
Continue reading “CVSS4.0 の変更点：攻撃の複雑さと要件のパラメータについて詳述する”CVSS 4.0 Offers Significantly More Patching Context
2023/11/08 DarkReading — 先週にリリースされた Common Vulnerability Scoring System の最新版である CVSS 4.0 により、それぞれの組織は、セキュリティ・バグが特定の環境にもたらす可能性のあるリスクを、より適切に評価／管理できるようになるはずだ。しかし、CVSS 4.0 が本当に役に立つかどうかは、CVSS 4.0に含まれる新しいメトリクスの全てを使用して、よりスマートな脆弱性の優先順位付けに必要な、コンテキストを構築する意欲と能力にかかっている。
Continue reading “CVSS 4.0：パッチの優先順位つけに多様なコンテキストを提供”New CVSS 4.0 vulnerability severity rating standard released
2023/11/01 BleepingComputer — FIRST (The Forum of Incident Response and Security Teams) は、これまでのメジャー・バージョンである CVSS v3.0 から８年を経て、CVSS v4.0 を正式にリリースした。これが、次世代の標準 CVSS (Common Vulnerability Scoring System) となる。CVSS は、ソフトウェアの脆弱性の深刻度を評価するための、標準化されたフレームワークである。そこでは、機密性／完全性／可用性／悪用可能性／要求権限への影響に基づき、数値スコアまたは定性的な表現 (低／中／高／重大など) が割り当てられ、より深刻な脆弱性に対して高いスコアが与えられる。
Continue reading “CVSS 4.0 を FIRST が正式発表：何が変わり 何が加わるのか？”New CVSS Version Unveiled Amid Rising Cyber Threats
2023/07/13 InfoSecurity — CVSS (Common Vulnerability Scoring System) の新バージョンである CVSS 4.0 が、Forum of Incident Response and Security Teams (FIRST) により 2023年7月13日に公開された。CVSSは、コンピュータ・システムのセキュリティ脆弱性の深刻度を評価するためのオープンな業界標準であり、組織における脆弱性管理プロセスの優先順位付けを支援するものだ。CVSS は、脆弱性の主要な特徴を捉え、その深刻度を示す数値スコアを作成する方法を提供している。
Continue reading “CVSS Version 4.0 が公開：CVSS 3.1 に対する批判への対処が目的”
IoT OT Security News 