CVE (Common Vulnerabilities and Exposures)

Pengertian CVE

CVE (Common Vulnerabilities and Exposures) adalah standar industri untuk mengidentifikasi dan menamai kerentanan keamanan siber secara unik. Dikelola oleh MITRE Corporation dengan dukungan dari Cybersecurity and Infrastructure Security Agency (CISA) Amerika Serikat. CVE memberikan bahasa yang seragam sehingga para profesional keamanan, vendor, dan peneliti dapat merujuk pada kerentanan yang sama tanpa kebingungan.

Format ID CVE

Setiap CVE memiliki format ID yang terstandarisasi:

CVE-YYYY-NNNNN

CVE - Prefix tetap yang menunjukkan identitas sebagai CVE entry.
YYYY - Tahun CVE dipublikasikan atau ditetapkan (tidak selalu tahun kerentanan ditemukan).
NNNNN - Nomor seri unik (minimal 4 digit, bisa lebih dari 5 digit). Contoh: CVE-2024-3094 (kerentanan XZ Utils backdoor) atau CVE-2021-44228 (Log4Shell).

CVE Database: NVD

NVD (National Vulnerability Database) adalah database kerentanan pemerintah AS yang dikelola oleh NIST (National Institute of Standards and Technology). NVD memperkaya data CVE mentah dengan informasi tambahan seperti:

CVSS Scores - Tingkat keparahan kerentanan
CPE (Common Platform Enumeration) - Informasi produk yang terpengaruh
CWE - Klasifikasi jenis kerentanan
Fix information - Data tentang patch atau mitigasi
Known Exploited Vulnerabilities (KEV) - Katalog kerentanan yang sudah aktif dieksploitasi

Siklus Hidup CVE (CVE Lifecycle)

Reserved - CVE ID telah dialokasikan oleh CVE Numbering Authority (CNA) kepada peneliti atau vendor. Detail kerentanan belum dipublikasikan. Status ini memungkinkan vendor menyiapkan patch sebelum informasi publik.
Published - Informasi kerentanan telah dirilis ke publik. Entry CVE berisi deskripsi, referensi, dan data terkait seperti CVSS dan CWE. Ini adalah fase paling umum terlihat di database publik.
Rejected - CVE entry dibatalkan. Alasan umum: duplikasi (kerentanan yang sama sudah memiliki ID lain), bukan kerentanan yang valid, atau peneliti menarik permohonan. Data CVE yang rejected tetap tercatat untuk menghindari kebingungan di masa depan.
Disputed - (Status opsional) Terjadi perdebatan antara vendor dan peneliti apakah suatu isu benar-benar kerentanan keamanan atau sekadar fitur/bug biasa.

CVE vs CWE

CVE mengidentifikasi instansi spesifik dari kerentanan - misalnya CVE-2021-44228 adalah Log4Shell pada Apache Log4j versi tertentu.

CWE (Common Weakness Enumeration) mengklasifikasikan jenis atau kategori kelemahan - misalnya CWE-79 (Cross-Site Scripting), CWE-89 (SQL Injection), CWE-787 (Out-of-bounds Write).

Hubungannya: Satu CWE dapat memiliki banyak CVE. Contoh: CWE-79 memiliki ribuan entry CVE untuk setiap aplikasi yang rentan XSS.

Sumber Data CVE

Sumber	Deskripsi
MITRE CVE	Database resmi CVE. Sumber utama data mentah CVE. API publik tersedia untuk query.
NVD (NIST)	Database terkaya dengan CVSS, CPE, CWE, dan referensi. Paling sering digunakan sebagai rujukan utama.
GitHub Advisory Database	Database kerentanan yang terintegrasi dengan ekosistem GitHub. Mencakup package manager (npm, PyPI, Maven, dll) dan dependabot alerts.
OSV (Open Source Vulnerabilities)	Database terfokus pada kerentanan open-source dari Google. Terintegrasi dengan banyak ecosystem (npm, Go, PyPI, Maven, Rust, dll). Format data terstruktur untuk automation.

Pencarian CVE

CVE dapat dicari melalui:

NVD Search - nvd.nist.gov untuk pencarian dengan filter vendor, produk, tahun, dan skor CVSS.
CVE.org - Situs resmi MITRE untuk query dasar.
Exploit-DB - Mencari CVE yang memiliki proof-of-concept exploit.
Shodan / Censys - Mencari aset yang terpapar kerentanan tertentu di internet.
API Automation - Menggunakan NVD API 2.0 atau OSV API untuk query otomatis dalam pipeline security.

Severity Rating CVE

Meskipun severity rating berasal dari CVSS, setiap CVE dipublikasikan dengan skor CVSS yang menentukan tingkat keparahan:

Critical (9.0 - 10.0)
High (7.0 - 8.9)
Medium (4.0 - 6.9)
Low (0.1 - 3.9)
None (0.0)

Kesimpulan

CVE adalah fondasi komunikasi kerentanan di seluruh industri keamanan siber. Memahami format ID, siklus hidup, sumber data, dan perbedaannya dengan CWE memungkinkan tim keamanan merespons kerentanan dengan cepat dan tepat menggunakan bahasa standar yang diakui secara global.