Программа CVE для отслеживания недостатков безопасности сталкивается с потерей федерального финансирования

Кризис финансирования угрожает ключевой программе кибербезопасности

Программа Common Vulnerabilities and Exposures (CVE), краеугольный камень усилий по кибербезопасности во всем мире, находится в критической ситуации, поскольку срок ее финансирования истекает. Эта программа, используемая технологическими гигантами, такими как Microsoft, Google, Apple, Intel и AMD, играет ключевую роль в выявлении и отслеживании общедоступных уязвимостей в области кибербезопасности. Это инструмент, который помогает инженерам оценивать серьезность эксплойтов и приоритизировать необходимые исправления или меры по смягчению последствий.

MITRE, организация, стоящая за CVE, сообщила *The Verge*, что контракт на управление и совершенствование программы истекает 16 апреля. С момента своего создания в 1999 году CVE поддерживает важную базу данных, в которой организации могут присваивать уникальные идентификаторы известным уязвимостям. Эти идентификаторы, оформленные как "CVE" с последующим годом и номером (например, CVE-2022-27254), позволяют специалистам по безопасности отслеживать уязвимости, которые могут повлиять на повседневные устройства и критически важные системы.

Глобальные последствия нехватки финансирования CVE

Исследователь в области безопасности и конфиденциальности Лукаш Олейник выразил свои опасения на платформе X, предупредив, что без продолжения поддержки система CVE может "парализовать" глобальные усилия по кибербезопасности. Он подчеркнул, что отсутствие CVE может привести к нарушению координации между поставщиками, аналитиками и системами защиты, что вызовет массовую путаницу и значительное ослабление мер кибербезопасности.

Несмотря на приближающийся крайний срок, Йосри Барсум, вице-президент и директор Центра по обеспечению безопасности родины в MITRE, остается оптимистом. В письме, отправленном по электронной почте *The Verge*, Барсум отметил, что правительство активно работает над сохранением роли MITRE в программе, и MITRE привержена поддержанию CVE как глобального ресурса. Он также упомянул, что изменение финансирования может повлиять на связанную программу Common Weakness Enumeration, которая сосредоточена на каталогизации слабых мест в аппаратном и программном обеспечении.

Утечка документов и официальные заявления

Срочность ситуации стала очевидной благодаря просочившемуся письму членам совета CVE, которое было опубликовано на социальных платформах X и Bluesky. MITRE, получающая финансирование от Министерства внутренней безопасности США (DHS) и Агентства по кибербезопасности и безопасности инфраструктуры (CISA), отвечает за управление и развитие программы CVE в качестве независимой, объективной третьей стороны, как указано в официальном видео о программе.

Потенциальное прекращение финансирования программы CVE является суровым напоминанием о хрупкости инфраструктуры кибербезопасности. По мере приближения крайнего срока технологическое сообщество и специалисты по безопасности по всему миру внимательно следят за ситуацией, надеясь на решение, которое позволит сохранить этот важный инструмент в рабочем состоянии.