CVE gab jedem Softwarefehler eine öffentliche ID, und die gesamte Sicherheitsbranche spricht sie aus

In den späten 1990er-Jahren hatten Sicherheitswerkzeuge jeweils eigene Namen für dieselben Fehler, sodass eine Warnung eines Scanners nicht mit einem Advisory eines Herstellers oder einem Datenbankeintrag eines anderen Produkts korreliert werden konnte. Informationen über eine Schwachstelle waren unter unvereinbaren Bezeichnungen verstreut.

MITREs David Mann und Steven Christey schlugen in einem White Paper mit dem Titel „Towards a Common Enumeration of Vulnerabilities“, das im Januar 1999 auf einem Workshop an der Purdue University vorgestellt wurde, eine Lösung vor. Eine Arbeitsgruppe – später das 19-köpfige CVE Editorial Board – erstellte die ersten 321 CVE-Einträge, und die Liste wurde im September 1999 offiziell gestartet.

Der Schritt war eine Namensschicht, kein Inhaltsmonopol: CVE blieb bewusst neutral in Bezug auf Schweregrad und Details und ließ Hersteller, Forscher und Werkzeuge ihre eigenen Beschreibungen behalten, während sie eine Kennung teilten. Bis Dezember 2000 hatten 29 Organisationen 43 Produkte als CVE-kompatibel erklärt.

Die Akzeptanz verstärkte sich. Die National Vulnerability Database von NIST ist um CVE-Einträge herum aufgebaut; NIST-Leitlinien empfahlen das Schema; OWASP, Symantec und die Fachpresse zitieren CVE-IDs, und die ITU-T übernahm CVE als internationale Empfehlung (X.1520). Die Benennung wurde zur gemeinsamen Sprache des Schwachstellenmanagements.

Eine kostenlose ID pro Fehler; alles andere darf abweichen

Eine neutrale, öffentliche, kostenlose Kennung beseitigte die Hürde für eine Einigung – niemand musste seine eigene Datenbank aufgeben.

Jeder Hersteller konnte dieselbe ID in einem Advisory zitieren, was der Branche eine universelle Querverweisung gab.

NIST baute die National Vulnerability Database auf CVE auf und machte sie damit zum Rückgrat der Sicherheit von Behörden und Unternehmen.

Scanner und Advisories wurden auf der Ebene der Benennung interoperabel, ohne ein gemeinsames Inhaltsformat.

Wenn sich das Ökosystem nicht auf Inhalte einigen kann, gebe man ihm eine gemeinsame Namensschicht – Identität ist das Billigste, was sich standardisieren lässt, und schaltet Interoperabilität frei.

CVE wuchs von 321 Einträgen auf mehr als 100.000, mit einem globalen Netzwerk von CVE Numbering Authorities, die im Namen des Programms IDs vergeben. Berühmte Fehler sind unter ihren IDs bekannt – Heartbleed ist CVE-2014-0160 – und die Kennung erscheint weltweit in Advisories, Scannern, Patches und Nachrichtenberichten.