ソフトウェアやネットワーク機器の脆弱性ニュースでは、「CVE」で始まる番号と「CVSS」のスコアが併記されることが多い。CVEは脆弱性を識別する共通の識別子、CVSSは脆弱性の特性や深刻度を評価する仕組みだ。
事案の詳細
CVE（Common Vulnerabilities and Exposures）は、公開された情報セキュリティ脆弱性に共通の名称を付ける仕組みで、MITRE CorporationがCVEプログラムの運営に関わっている。脆弱性を識別するCVE識別子は通常「CVE-年-数字」の形式で構成され、メーカーの告知や脆弱性情報サイトの情報を同じ脆弱性として結び付けるために利用できる。
CVE識別子の割り当ては、CVE Numbering Authority（CNA）と呼ばれる認定組織が、担当する製品や範囲に応じて行う。日本国内でも、一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）や製品開発企業などがCNAとして活動している。
CVE番号は脆弱性の深刻度や悪用の有無を示すものではなく、番号だけからそれらを判断することはできない。番号の割り当てや公開の順序が、脆弱性の深刻度を表す連番になっているわけでもない。
影響と背景
脆弱性の深刻度を評価する共通の仕組みが、CVSS（Common Vulnerability Scoring System）だ。攻撃が成立する条件や、悪用された場合の影響などを評価し、深刻度を0.0～10.0のスコアで示す。CVSS v3.1およびv4.0の定性的な区分は、0.0が「なし」（None）、0.1～3.9が「注意」（Low）、4.0～6.9が「警告」（Medium）、7.0～8.9が「重要」（High）、9.0～10.0が「緊急」（Critical）である。
対策・今後の展望
- CVE番号は脆弱性を特定するための共通キーとして用い、メーカー告知や脆弱性情報サイトの記載を同じ番号で突き合わせて確認する。
- CVSSは0.0～10.0のスコアと定性的な区分を目安にしつつ、評価指標の扱いにも注意する。
- CVSSには複数のバージョンがあるため、脆弱性情報を確認する際は、どのバージョンのスコアかを確認する。
- CVSS v3.1では「基本」（Base）、「現状」（Temporal）、「環境」（Environmental）の3指標グループがある。「CVSS v3.1のスコア」として基本評価値が示されることが多いが、必要に応じて現状や環境の指標も確認する。
- CVSS v4.0では「基本」（Base）、「脅威」（Threat）、「環境」（Environmental）、「補助」（Supplemental）の4指標グループが設けられている。基本評価に加えて脅威情報や環境条件を反映でき、「CVSS-B」（基本のみ）、「CVSS-BT」（基本＋脅威）のように、どの指標グループに基づくスコアかを区別して表記する。なお「補助」の指標はスコアに影響しない。
国内の脆弱性と対策情報をまとめて確認できるポータルとして「JVN」（Japan Vulnerability Notes）があり、一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）と独立行政法人情報処理推進機構（IPA）が共同で運営している。JVNでは、影響を受ける製品やバージョン、脆弱性の内容、修正や回避策、メーカーが公開している関連情報へのリンクなどがまとめられている。
CSRIからのアドバイス
同種の情報を扱う際は、CVEが「個別の脆弱性を識別する番号」、CVSSが「脆弱性の特性や深刻度を評価する仕組み」という役割の違いを押さえることが重要だ。CVE番号だけから深刻度や悪用の有無を判断することはできない。
例えるならCVEは「不具合に付く受付番号」のようなもので、番号が分かればメーカーの告知や各サイトの記載を同じ話題として突き合わせられる。CVSSは「危険度を点数化した目安」で、スコアと評価区分を優先度を考える材料として利用できる。
中小企業が今週中にできることとして、まず社内で参照している脆弱性情報がCVSS v3.1かv4.0かを確認し、基本評価だけなのか、脅威や環境の指標を反映した評価なのかも見る。次に、重要な製品についてはCVE番号でメーカー告知とJVNの情報を照合し、修正や回避策の有無を担当者に共有する。