Soporte técnico
Documentación
Inicio de sesión
Contáctenos
Ir directamente al resumen generado por IA de esta entrada del blog 
Principales conclusiones
- CVE proporciona identificadores únicos para las vulnerabilidades, lo que facilita el seguimiento y la comunicación entre plataformas.
- El CVSS asigna puntuaciones numéricas a las vulnerabilidades, lo que ayuda a establecer prioridades en función de la gravedad.
- Juntos, CVE y CVSS permiten a los administradores de Linux identificar, evaluar y mitigar los riesgos de forma eficaz.
Desde los usuarios individuales hasta las grandes organizaciones, el riesgo de ciberataques está siempre presente. Para mitigar eficazmente estos riesgos, es crucial comprender los conceptos fundamentales de CVE y CVSS.
CVE son las siglas de «Common Vulnerabilities and Exposures» (Vulnerabilidades y exposiciones comunes). En términos sencillos, hace referencia a una vulnerabilidad de seguridad revelada públicamente en un programa de software concreto. Por su parte, CVSS, o Sistema Común de Puntuación de Vulnerabilidades, es un marco estandarizado para evaluar la gravedad de una vulnerabilidad.
Este artículo explora CVE vs CVSS, explicando qué son y cómo ayudan en la gestión de vulnerabilidades.
¿Qué es un CVE?
Un Common Vulnerability and Exposure (CVE) es un identificador único asignado a vulnerabilidades de software conocidas públicamente. Este sistema de nomenclatura ayuda a los investigadores de seguridad, vendedores y administradores de sistemas a referenciar y rastrear fácilmente vulnerabilidades específicas. El sistema CVE se originó en MITRE en 1999 con el lanzamiento de la lista CVE que contenía sólo 321 registros.
En 2024 se revelaron más de 40.000 nuevas vulnerabilidades en un solo año, una asombrosa trayectoria de crecimiento que pone de relieve el papel fundamental que desempeñan los CVE en la gestión de vulnerabilidades.
Sin un sistema estandarizado de identificación, resulta casi imposible distinguirlas y rastrearlas eficazmente. Sin embargo, es importante señalar que no todas las vulnerabilidades tienen asignados CVE.
¿Quién y cómo asigna los CVE?
Los CVE son asignados por las CVE Numbering Authorities (CNA), un grupo responsable de coordinar la asignación de identificadores únicos a las vulnerabilidades conocidas públicamente. Las CNA colaboran estrechamente con investigadores de seguridad, proveedores y otras partes interesadas para identificar y documentar las vulnerabilidades.
Un identificador CVE es una cadena de texto única con el formato CVE-Año-Número. Por ejemplo, CVE-2014-0160 se refiere a la infame vulnerabilidad Heartbleed. El "2014" indica el año en que se hizo pública la CVE, mientras que "0160" es el número único asignado a la vulnerabilidad ese año. Estos números se restablecen cada año.
Una entrada CVE puede ser asignada pero no divulgada inmediatamente. Este retraso suele ser intencionado, para dar tiempo al proveedor original o al desarrollador del software a publicar una solución. En el momento en que la información de la CVE se hace pública, el parche o la mitigación suelen estar listos para su despliegue, lo que reduce el riesgo para los usuarios finales.
¿Qué es CVSS?
El Sistema Común de Puntuación de Vulnerabilidades (CVSS) es un marco normalizado para evaluar la gravedad de las vulnerabilidades. Gestionado por el Foro de Equipos de Respuesta a Incidentes y Seguridad (FIRST), CVSS asigna una puntuación numérica a una vulnerabilidad, indicando su gravedad.
Esto ayuda a las organizaciones a priorizar las vulnerabilidades en función de sus puntuaciones CVSS y a centrarse en abordar primero las amenazas más críticas.
El sistema de puntuación CVSS
Las puntuaciones CVSS oscilan entre 0,0 y 10,0. Las puntuaciones más altas indican vulnerabilidades más graves.
Estas puntuaciones suelen aparecer junto a las entradas de CVE en bases de datos como el NVD, lo que proporciona una rápida instantánea del nivel de riesgo.
La Base de Datos Nacional de Vulnerabilidades (NVD) es un repositorio patrocinado por el gobierno de EE.UU. que proporciona información detallada sobre las vulnerabilidades conocidas públicamente. Incluye descripciones de CVE, sus vulnerabilidades asociadas y posibles exploits.
|
Rango de puntuación: |
Gravedad: |
|
0.0 |
Ninguno |
|
0.1 – 3.9 |
Bajo |
|
4.0 – 6.9 |
Medio |
|
7.0 – 8.9 |
Alta |
|
9.0 – 10.0 |
Crítica |
CVSS utiliza tres grupos de métricas clave para calcular la puntuación final:
Puntuación de base
Esta puntuación representa las propiedades inherentes de una vulnerabilidad que son coherentes a lo largo del tiempo y en distintos entornos. Incluye factores como la complejidad del ataque, los privilegios necesarios, la interacción del usuario y el impacto potencial.
Puntuación temporal
Esta puntuación tiene en cuenta factores que pueden cambiar con el tiempo, como la disponibilidad de parches, la madurez del código de explotación y la métrica de confianza de los informes.
Puntuación medioambiental
Esta puntuación refleja las características específicas del entorno objetivo, como la presencia de controles de seguridad, el valor de los activos afectados y el impacto potencial en los objetivos de la organización.
CVE vs. CVSS vs. NVD: ¿Cuál es la diferencia?
A estas alturas, ya sabrá lo que significan CVE, CVSS y NVD. He aquí una rápida comparación para mostrar cómo se relacionan, quién los gestiona y cómo funcionan juntos en la gestión de vulnerabilidades.
|
Característica |
CVE |
CVSS |
NVD |
|
Gestionado por |
Corporación MITRE |
FIRST (Foro de Equipos de Respuesta a Incidentes y Seguridad) |
NIST (Instituto Nacional de Normas y Tecnología) |
|
Qué hace |
Asigna identificadores únicos para rastrear vulnerabilidades conocidas. |
Valora la gravedad de una vulnerabilidad mediante una fórmula estándar. |
Almacena y enriquece los datos sobre vulnerabilidad para uso público. |
|
Usado para |
Referenciación e identificación unívoca de fallos de seguridad en diversas plataformas. |
Priorización de las vulnerabilidades en función de su gravedad para la aplicación de parches. |
Investigación, análisis y gestión de vulnerabilidades. |
|
Interacción |
Las CVEs son publicadas por las CNAs y listadas en NVD; a menudo incluye las puntuaciones CVSS. |
Las puntuaciones CVSS se calculan para cada CVE y se publican a través de NVD. |
NVD es la principal fuente pública de información detallada sobre CVE y CVSS. |
La importancia de las versiones CVSS
El Sistema Común de Puntuación de Vulnerabilidades (CVSS) tiene múltiples versiones, siendo la última la CVSS 4.0. A diferencia de CVSS v2.0 y CVSS v3.x, consta de cuatro grupos de métricas: Base, Amenaza, Entorno y Suplementario.
Estas versiones han evolucionado con el tiempo para mejorar la precisión y coherencia de la puntuación de vulnerabilidades. Por lo tanto, la versión CVSS utilizada para evaluar la vulnerabilidad puede afectar significativamente a la puntuación asignada a una vulnerabilidad.
Por ejemplo, una vulnerabilidad puede recibir una calificación de gravedad "Alta" según CVSS 3.0 pero sólo una calificación "Media" según CVSS 2.0. Por este motivo, es importante especificar la versión del CVSS siempre que se mencione una puntuación, ya que de lo contrario es imposible interpretarla correctamente.
Las versiones más recientes del CVSS pretenden reducir la subjetividad en la puntuación perfeccionando la metodología de cálculo e introduciendo directrices más claras. Sin embargo, todavía puede haber cierto grado de subjetividad en la puntuación CVSS. Los analistas de seguridad pueden asignar distintos pesos a los factores que contribuyen a una puntuación CVSS, lo que puede dar lugar a diferencias en la puntuación final entre los registros CVE.
Cómo priorizar los CVE para su parcheado
No todos los CVE necesitan parches inmediatos, pero algunos sí, y no aplicarlos puede salir caro.
Utilice una combinación de puntuaciones CVSS y criticidad de los activos para clasificar la urgencia de los parches.
Las vulnerabilidades críticas en sistemas de alto impacto deben parchearse en 24 horas. Por el contrario, los problemas de baja gravedad en sistemas de menor impacto pueden abordarse durante los ciclos rutinarios de aplicación de parches.
Por qué CVE y CVSS son importantes para los administradores de Linux
Los sistemas operativos Linux se utilizan ampliamente en entornos Linux empresariales, lo que los convierte en objetivos atractivos para los atacantes.
Para los administradores de Linux y los equipos de seguridad, CVE y CVSS desempeñan un papel crucial en la identificación y evaluación de vulnerabilidades.
Combinando los ID de CVE y las puntuaciones CVSS, pueden priorizar y abordar eficazmente las vulnerabilidades más críticas.
Esto no sólo agiliza la gestión eficaz de las vulnerabilidades, sino que también simplifica el cumplimiento de las normas reglamentarias y de seguridad.
Sin embargo, incluso con el seguimiento de CVE y la priorización CVSS, uno de los mayores retos para los administradores de Linux es aplicar los parches con prontitud sin interrumpir las operaciones.
Los métodos tradicionales de aplicación de parches suelen requerir el reinicio del sistema, lo que provoca tiempos de inactividad e interrupciones del servicio. La aplicación de parches en vivo resuelve este problema al permitir el despliegue de parches del núcleo sin reiniciar el sistema.
KernelCare Enterprise de TuxCare ofrece parches en vivo automatizados para distribuciones Linux, lo que le permite aplicar actualizaciones de seguridad inmediatamente sin necesidad de reiniciar el sistema.
Al eliminar el tiempo de inactividad, KernelCare reduce significativamente la ventana de exposición a vulnerabilidades y resuelve problemas operativos clave, al tiempo que mejora la seguridad y el cumplimiento de las normativas.
Reflexiones finales sobre CVSS frente a CVE y cómo mantenerse seguro
Los CVE proporcionan un método estandarizado para identificar y rastrear los riesgos de seguridad, mientras que CVSS ofrece una clasificación numérica clara para evaluar la gravedad de estas vulnerabilidades. La transparencia y los conocimientos prácticos derivados de las puntuaciones CVE y CVSS son inestimables, ya que proporcionan a los administradores de Linux la información necesaria para actuar con rapidez y confianza en el mantenimiento de la seguridad y el cumplimiento del sistema.
¿Quieres subsanar fallos de seguridad críticos sin tiempo de inactividad? Protege tus sistemas con los parches sin reinicio de KernelCare.
