Сообщить об ошибкеКороткий ответ
CVE (Common Vulnerabilities and Exposures) — уникальный идентификатор публично известной уязвимости в конкретном программном компоненте; уровень серьёзности (часто на основе шкалы CVSS 0–10) отражает потенциальное воздействие и простоту эксплуатации и используется для приоритизации, какие уязвимости устранять первыми.
Как это работает подробнее
когда исследователь или вендор обнаруживает уязвимость, ей присваивается идентификатор вида CVE-2024-12345, запись публикуется в базах (NVD и других) с описанием, затронутыми версиями и оценкой CVSS, из которой выводится категория: Critical (обычно 9.0–10.0), High (7.0–8.9), Medium (4.0–6.9), Low (0.1–3.9).
Что использовать на практике
- Практика. при большом количестве найденных уязвимостей в образе или зависимостях физически невозможно закрыть все сразу — приоритет отдают Critical/High, особенно если уязвимость эксплуатируется удалённо без аутентификации (учитывают не только оценку, но и доступность эксплойта, наличие исправления, реальную используемость уязвимого кода).
- Проверка. Ожидаемое поведение: после обновления компонента до версии, указанной как Fixed Version, повторный скан сканером (Trivy/Grype) не должен показывать эту CVE для данного образа — это и является критерием проверки устранения уязвимости.
Подводные камни
- Ошибка. игнорировать уязвимости со статусом Medium/Low «навсегда», накапливая технический долг; реагировать только на числовую оценку CVSS без учёта контекста (уязвимость в неиспользуемом коде библиотеки может быть менее критична, чем формальная оценка); не проверять, вышло ли исправление (Fixed Version), перед тем как решать, что делать с уязвимостью.