Chương trình CVE để theo dõi các lỗ hổng bảo mật phải đối mặt với việc mất tài trợ liên bang

Khủng hoảng tài trợ đang rình rập chương trình an ninh mạng quan trọng

Chương trình Common Vulnerabilities and Exposures (CVE), một nền tảng quan trọng cho các nỗ lực an ninh mạng trên toàn thế giới, đang đối mặt với tình hình nghiêm trọng khi nguồn tài trợ của nó sắp hết hạn. Chương trình này, được sử dụng bởi các gã khổng lồ công nghệ như Microsoft, Google, Apple, Intel và AMD, đóng vai trò then chốt trong việc xác định và theo dõi các lỗ hổng an ninh mạng được biết đến công khai. Đây là một công cụ giúp các kỹ sư đánh giá mức độ nghiêm trọng của các lỗ hổng và ưu tiên các bản vá hoặc biện pháp giảm thiểu cần thiết.

MITRE, tổ chức đứng sau CVE, đã tiết lộ với *The Verge* rằng hợp đồng để quản lý và nâng cấp chương trình sẽ kết thúc vào ngày 16 tháng 4. Kể từ khi ra đời vào năm 1999, CVE đã duy trì một cơ sở dữ liệu quan trọng nơi các tổ chức có thể gán ID duy nhất cho các lỗ hổng đã biết. Những ID này, được định dạng là "CVE" theo sau là năm và số (ví dụ: CVE-2022-27254), giúp các chuyên gia bảo mật theo dõi các lỗ hổng có thể ảnh hưởng đến các thiết bị hàng ngày và hệ thống quan trọng.

Tác động toàn cầu của tình trạng thiếu hụt tài trợ CVE

Nhà nghiên cứu bảo mật và quyền riêng tư Lukasz Olejnik đã lên X để bày tỏ lo ngại, cảnh báo rằng nếu không có sự hỗ trợ liên tục, hệ thống CVE có thể "làm suy yếu" các nỗ lực an ninh mạng toàn cầu. Ông nhấn mạnh rằng sự vắng mặt của CVE có thể dẫn đến sự sụp đổ trong việc phối hợp giữa các nhà cung cấp, nhà phân tích và hệ thống phòng thủ, gây ra sự nhầm lẫn lan rộng và làm suy yếu đáng kể các biện pháp an ninh mạng.

Bất chấp thời hạn đang đến gần, Yosry Barsoum, phó chủ tịch và giám đốc tại Trung tâm Bảo vệ An ninh Quốc gia của MITRE, vẫn lạc quan. Trong một tuyên bố gửi qua email cho *The Verge*, Barsoum lưu ý rằng chính phủ đang tích cực làm việc để duy trì vai trò của MITRE trong chương trình, và MITRE cam kết duy trì CVE như một nguồn tài nguyên toàn cầu. Ông cũng đề cập rằng sự thay đổi tài trợ có thể ảnh hưởng đến chương trình Common Weakness Enumeration liên quan, chương trình này tập trung vào việc lập danh mục các điểm yếu của phần cứng và phần mềm.

Tài liệu rò rỉ và tuyên bố chính thức

Tính cấp bách của tình hình được đưa ra ánh sáng thông qua một bức thư bị rò rỉ gửi đến các thành viên hội đồng CVE, được chia sẻ trên các nền tảng xã hội X và Bluesky. MITRE, nhận tài trợ từ Bộ An ninh Nội địa Hoa Kỳ (DHS) và Cơ quan An ninh Mạng và Cơ sở hạ tầng (CISA), được giao nhiệm vụ vận hành và thúc đẩy Chương trình CVE như một bên thứ ba độc lập, khách quan, như được nêu trong một video chính thức về chương trình.

Việc có khả năng ngừng tài trợ cho chương trình CVE là một lời nhắc nhở rõ ràng về bản chất dễ vỡ của cơ sở hạ tầng an ninh mạng. Khi thời hạn đến gần, cộng đồng công nghệ và các chuyên gia bảo mật trên toàn thế giới đang theo dõi chặt chẽ, hy vọng sẽ có một giải pháp giữ cho công cụ thiết yếu này tiếp tục hoạt động.