본문으로 이동

공통 취약성 및 노출

위키백과, 우리 모두의 백과사전.
로고

공통 취약성 및 노출(Common Vulnerabilities and Exposures, CVE, 원래 명칭: 공통 취약점 열거(Common Vulnerability Enumeration))[1] 시스템은 공개적으로 알려진 정보 보안 취약점 및 노출에 대한 참조 방식을 제공한다.[2] 마이터 코퍼레이션(The MITRE Corporation)이 운영하는 미국 국토안보시스템공학개발연구소(FFRDC)에서 이 시스템을 관리하며, 미국 국토안보부 산하 국가 사이버 보안 부문(National Cyber Security Division)의 자금 지원을 받는다.[3] 이 시스템은 1999년 9월 대중에 공식적으로 공개되었다.[4]

보안 콘텐츠 자동화 프로토콜(Security Content Automation Protocol)은 CVE를 사용하며, CVE 식별자는 마이터(MITRE) 시스템뿐만 아니라 미국 국가 취약점 데이터베이스(National Vulnerability Database)의 기반으로 등재되어 있다.[5]

CVE 식별자

[편집]

마이터 코퍼레이션의 문서는 CVE 식별자("CVE 이름", "CVE 번호", "CVE-ID", "CVE"라고도 함)를 공개적으로 출시된 소프트웨어 패키지 내의 공개된 정보 보안 취약점에 대한 고유한 공통 식별자로 정의한다. 역사적으로 CVE 식별자는 처음에 "후보"("CAN-") 상태를 가졌으며 이후 항목("CVE-")으로 승격될 수 있었으나, 2005년에 이러한 관행은 종료되었고[6][7] 모든 식별자는 이제 CVE로 할당된다. CVE 번호가 할당되었다고 해서 반드시 공식 CVE 항목이 되는 것은 아니다(예를 들어, 보안 취약점이 아니거나 기존 항목과 중복되는 문제에 부적절하게 할당될 수 있음). 기준을 충족하지 못한다고 판단되면, 마이터나 CVE 번호 할당 기관(CNA)은 해당 항목을 즉시 '거부됨'(REJECTED) 상태로 처리할 수 있다.

CVE는 CVE 번호 할당 기관(CNA)에 의해 할당된다.[8] 이전에도 일부 벤더가 CNA 역할을 수행했지만, 명칭과 지정은 2005년 2월 1일에야 만들어졌다.[9] CVE 번호 할당에는 크게 네 가지 유형이 있다.

  1. 마이터 코퍼레이션이 편집자 및 기본 CNA 역할을 수행함
  2. 다양한 CNA가 자사 제품에 대한 CVE 번호를 할당함 (예: 마이크로소프트, 오라클, HP, 레드햇)
  3. CERT 코디네이션 센터와 같은 제3자 조정자가 다른 CNA가 다루지 않는 제품에 대해 CVE 번호를 할당할 수 있음
  4. 연구원에게도 CNA 역할이 부여된 사례가 있음.[10]

취약점이나 잠재적 취약점을 조사할 때는 CVE 번호를 조기에 확보하는 것이 도움이 된다. CVE 번호는 엠바고가 걸린 문제(CVE 번호는 할당되었으나 문제가 공개되지 않은 경우)나, 자원 문제로 인해 마이터가 직접 조사하고 작성하지 않는 경우 등 상황에 따라 마이터나 NVD 데이터베이스에 며칠, 몇 주, 몇 달, 혹은 몇 년 동안 나타나지 않을 수 있다. 조기에 CVE 후보로 등록하면 이후의 모든 서신과 조정 과정에서 CVE 번호를 언급하여 모든 당사자가 동일한 취약점을 다루고 있음을 보장할 수 있다. 오픈 소스 프로젝트 관련 문제에 대한 CVE 식별자 획득 방법은 레드햇[11] 및 깃허브에서 제공한다.[12]

CVE는 공개적으로 출시된 소프트웨어를 대상으로 하며, 널리 사용되는 경우 베타나 사전 출시 버전도 포함될 수 있다. 상용 소프트웨어도 "공개 출시" 범주에 포함되지만, 유통되지 않는 맞춤형 소프트웨어는 역사적으로 CVE를 부여받지 않았다. 프로그램 시작 후 첫 20년 동안 서비스(예: 웹 기반 이메일 제공업체)는 해당 서비스에서 발견된 취약점(예: XSS 취약점)에 대해, 문제가 공개적으로 유통되는 기초 소프트웨어 제품에 존재하지 않는 한 CVE를 할당받지 않았다. 이 변경 사항과 관련하여 공식 규정이 발표된 적은 없으나, 마이터를 포함한 일부 CNA들은 2000년부터 서비스 기반 취약점에 CVE를 할당하기 시작했다.[13]

CVE 데이터 필드

[편집]

CVE 데이터베이스에는 여러 필드가 포함되어 있다.

설명(Description)

[편집]

해당 문제에 대한 표준화된 텍스트 설명이다. 흔히 볼 수 있는 항목은 다음과 같다.

** RESERVED ** 이 후보는 새로운 보안 문제를 발표할 때 사용할 기관 또는 개인이 예약했습니다. 후보가 공개되면 해당 세부 정보가 제공될 것입니다.

이는 항목 번호가 마이터에 의해 문제용으로 예약되었거나 CNA가 번호를 예약했음을 의미한다. 따라서 CNA가 사전에 CVE 번호 블록을 요청하면(예: 레드햇은 현재 500개 단위로 CVE를 요청함), 해당 CVE 자체가 CNA에 의해 당장 할당되지 않더라도 CVE 번호는 '예약됨'으로 표시된다. CVE가 할당되고, 마이터가 이를 인지하며(즉, 엠바고가 해제되고 문제가 공개됨), 마이터가 해당 문제를 조사하여 설명을 작성할 때까지, 항목은 "** RESERVED **"로 나타난다.

생성 날짜(Creation date)

[편집]

항목이 생성된 날짜이다. 마이터가 직접 할당한 CVE의 경우 마이터가 CVE 항목을 생성한 날짜를 의미한다. CNA(예: 마이크로소프트, 오라클, HP, 레드햇)가 할당한 CVE의 경우에도 CNA가 아닌 마이터가 생성한 날짜이다. CNA가 사전에 CVE 번호 블록을 요청할 경우, 항목 날짜는 해당 블록이 CNA에 할당된 날짜가 된다.

사용 중단된 필드

[편집]

다음 필드들은 이전에는 CVE 기록에 사용되었으나 현재는 사용되지 않는다.

  • 단계(Phase): CVE가 속한 단계 (예: CAN, CVE).
  • 투표(Votes): 이전에는 이사회 구성원들이 CAN이 수락되어 CVE로 전환되어야 할지 여부에 대해 찬반 투표를 했다.
  • 의견(Comments): 문제에 대한 의견.
  • 제안됨(Proposed): 문제가 처음 제안되었을 때.

구문 변경

[편집]

CVE-YEAR-9999를 초과하는 CVE ID를 지원하기 위해('CVE10k 문제'로 알려진 문제[14]), 2014년에 CVE 구문 변경이 이루어졌으며 2015년 1월 13일부터 시행되었다.[15]

새로운 CVE-ID 구문은 가변 길이를 가지며 다음을 포함한다.

CVE 접두사 + 연도 + 임의의 숫자

가변 길이의 임의 숫자는 4개의 고정된 숫자로 시작하며 한 해 동안 필요할 때만 임의의 숫자를 확장한다. 예를 들어 CVE-YYYY-NNNN, 그리고 필요할 경우 CVE-YYYY-NNNNN, CVE-YYYY-NNNNNN 등으로 확장된다. 이 스키마는 모두 최소 4자리 숫자를 포함하는 이전에 할당된 CVE-ID와 호환된다.

CVE 식별자 검색

[편집]

마이터 CVE 데이터베이스는 CVE 목록 검색에서, NVD CVE 데이터베이스는 CVE 및 CCE 취약점 데이터베이스 검색에서 검색할 수 있다.

CVE 사용

[편집]

CVE 식별자는 취약점 식별과 관련하여 사용하기 위한 것이다.

공통 취약성 및 노출(CVE)은 공개적으로 알려진 정보 보안 취약점에 대한 공통 이름(즉, CVE 식별자) 사전이다. CVE의 공통 식별자를 사용하면 서로 다른 네트워크 보안 데이터베이스와 도구 간에 데이터를 더 쉽게 공유할 수 있으며, 조직의 보안 도구가 다루는 범위를 평가하기 위한 기준점을 제공한다. 귀하의 보안 도구 중 하나에서 생성된 보고서에 CVE 식별자가 포함되어 있다면, 하나 이상의 CVE 호환 데이터베이스에서 빠르고 정확하게 수정 정보를 확인하여 문제를 해결할 수 있다.[16]

취약점에 대해 CVE 식별자를 할당받은 사용자는 관련 보안 보고서, 웹 페이지, 이메일 등에 해당 식별자를 포함할 것을 권장한다.

CVE 할당 문제

[편집]

CNA 규칙의 7항에 따라, 보안 취약점에 대한 보고를 받은 벤더는 해당 사항에 대해 전적인 재량권을 갖는다.[17] 이는 벤더가 처음에 CVE 할당을 거부하여 결함을 패치되지 않은 상태로 두려 할 수 있기 때문에 이해충돌로 이어질 수 있으며, 마이터는 이 결정을 되돌릴 수 없다. 2023년에 발표된 "!CVE" (not CVE) 프로젝트는 프로젝트 전문가 패널이 유효하다고 판단하는 한, 벤더가 거부한 취약점을 수집하는 것을 목표로 한다.[18]

CVE 식별자가 가짜 문제나 보안 결과가 없는 문제에 할당된 경우도 있다.[19] 이에 대응하여 다수의 오픈 소스 프로젝트가 직접 해당 프로젝트의 CVE 번호 할당 기관(CNA)이 되기 위해 신청하고 있다.[20]

2025년 자금 지원 문제

[편집]

2025년 4월 15일, 그 다음 날 만료 예정이었던 마이터와 미국 정부 간의 계약이 만료될 예정이라는 보도가 나왔다.[21] 계약 만료 시 새로운 CVE 할당을 포함한 CVE 프로그램의 운영 부문이 종료되고, 데이터베이스는 깃허브를 통해서만 접근 가능하게 될 것이라고 보도되었다.[22]

계약 만료 직전, 계약이 11개월 연장되면서 프로그램 중단은 모면하게 되었다.[23]

2026년 3월 16일 자금 지원 만료 위험 이후, CISA의 국장 대행 닉 앤더슨은 해당 프로그램이 이제 전액 지원을 받고 있다고 밝혔다. CVE 재단의 공동 설립자 피트 알러는 CVE 프로그램의 자금이 임의 항목에서 필수 핵심 프로그램 중 하나로 재구성되었다고 보고했다.[24]

같이 보기

[편집]

각주

[편집]
  1. ↑ “CVE - Towards a Common Enumeration of Vulnerabilities”. 2025년 4월 18일. 2025년 4월 18일에 원본 문서에서 보존된 문서. 2025년 4월 29일에 확인함.
  2. ↑ Wu, Xiaoxue; Zheng, Wei; Chen, Xiang; Wang, Fang; Mu, Dejun (2020). “CVE-assisted large-scale security bug report dataset construction method” (영어). 《Journal of Systems and Software》 160. doi:10.1016/j.jss.2019.110456. S2CID 209056007. 2022년 10월 24일에 확인함.
  3. ↑ “CVE – Common Vulnerabilities and Exposures”. Mitre Corporation. 2007년 7월 3일. 2020년 12월 19일에 원본 문서에서 보존된 문서. 2009년 6월 18일에 확인함. CVE is sponsored by the National Cyber Security Division of the U.S. Department of Homeland Security.
  4. ↑ “CVE - History”. 《cve.mitre.org》. 2020년 1월 8일에 원본 문서에서 보존된 문서. 2020년 3월 25일에 확인함.
  5. ↑ “CVE - Common Vulnerabilities and Exposures (CVE)”. 《cve.mitre.org》. 2013년 4월 7일에 원본 문서에서 보존된 문서. 2013년 4월 8일에 확인함.
  6. ↑ “CVE - Frequently Asked Questions”. 《cve.mitre.org》. 2018년 4월 10일에 원본 문서에서 보존된 문서. 2021년 9월 1일에 확인함.
  7. ↑ Kouns, Jake (2009년 8월 13일). “Reviewing(4) CVE”. 《OSVDB: Everything is Vulnerable》. 2021년 9월 1일에 원본 문서에서 보존된 문서. 2021년 9월 1일에 확인함.
  8. ↑ “CVE - CVE Numbering Authorities”. MITRE Corporation. 2015년 2월 1일. 2024년 3월 5일에 확인함.
  9. ↑ “CVE - CVE Blog "Our CVE Story: Ancient History of the CVE Program – Did the Microsoft Security Response Center have Precognition?" (guest author)”. 《cve.mitre.org》. 2021년 9월 17일에 확인함.
  10. ↑ “CVE - CVE Blog "My CVE Story: How I Became the CVE Program's First Vulnerability Researcher CNA" (guest author)”. 2021년 3월 15일. 2021년 3월 15일에 원본 문서에서 보존된 문서. 2025년 4월 29일에 확인함.
  11. ↑ “CVE OpenSource Request HOWTO”. Red Hat Inc. 2016년 11월 14일. 2019년 5월 29일에 확인함. There are several ways to make a request depending on what your requirements are:
  12. ↑ “About GitHub Security Advisories”. GitHub. 2021년 12월 23일에 원본 문서에서 보존된 문서. 2021년 12월 23일에 확인함. GitHub Security Advisories builds upon the foundation of the Common Vulnerabilities and Exposures (CVE) list
  13. ↑ “CVE - CVE-2000-0081”. 2021년 12월 4일. 2021년 12월 4일에 원본 문서에서 보존된 문서. 2025년 4월 29일에 확인함.
  14. ↑ Christey, Steven M. (2007년 1월 12일). “CVE - The CVE-10K Problem”. 《cve.mitre.org》. The MITRE Corporation. 2023년 11월 25일에 확인함.
  15. ↑ “CVE - CVE ID Syntax Change”. 《cve.mitre.org》. 2016년 9월 13일.
  16. ↑ “CVE - About CVE”. 《cve.mitre.org》. 2015년 7월 28일에 확인함.
  17. ↑ “CVE Numbering Authority Rules - Assignment Rules” (PDF). The MITRE Corporation. 2020년 2월 1일. 13–15쪽. 2023년 12월 7일에 원본 문서 (PDF)에서 보존된 문서. 2023년 12월 6일에 확인함.
  18. ↑ Edge, Jake (2023년 12월 5일). “Supplementing CVEs with !CVEs”. 《lwn.net》. 2024년 2월 21일에 원본 문서에서 보존된 문서. 2024년 2월 21일에 확인함.
  19. ↑ Edge, Jake (2023년 9월 13일). “The bogus CVE problem”. 《lwn.net》.
  20. ↑ “A turning point for CVE numbers”. 《LWN.net》. 2024년 2월 14일. 2024년 2월 22일에 원본 문서에서 보존된 문서. 2024년 2월 21일에 확인함.
  21. ↑ “CONTRACT to THE MITRE CORPORATION” (영어). 《www.usaspending.gov》. 2025년 4월 16일에 확인함.
  22. ↑ Bradley, Tony (2025년 4월 15일). “Cybersecurity World On Edge As CVE Program Prepares To Go Dark”. 《Forbes》. 2025년 7월 17일에 원본 문서에서 보존된 문서. 2025년 4월 16일에 확인함.
  23. ↑ Brunfield, Cynthia (2025년 4월 16일). “CVE program averts swift end after CISA executes 11-month contract extension”. 《CSO Online》. 2025년 4월 15일에 원본 문서에서 보존된 문서. 2025년 4월 16일에 확인함.
  24. ↑ Brunfield, Cynthia (2026년 3월 9일). “CVE program funding secured, easing fears of repeat crisis”. 《CSO Online》. 2026년 5월 5일에 확인함.

외부 링크

[편집]
원본 주소 "https://ko.wikipedia.org/w/index.php?title=공통_취약성_및_노출&oldid=42161872"