Base de datos nacional de vulnerabilidad

La Base de Datos Nacional de Vulnerabilidades ( NVD , por sus siglas en inglés) es el repositorio del gobierno estadounidense de datos de gestión de vulnerabilidades basados ​​en estándares, representados mediante el Protocolo de Automatización de Contenido de Seguridad (SCAP, por sus siglas en inglés). Estos datos permiten automatizar la gestión de vulnerabilidades, la medición de la seguridad y el cumplimiento normativo. La NVD incluye bases de datos de listas de verificación de seguridad, fallos de software relacionados con la seguridad, configuraciones incorrectas, nombres de productos y métricas de impacto. La NVD es compatible con el Programa de Automatización de la Seguridad de la Información (ISAP, por sus siglas en inglés). La NVD está gestionada por el Instituto Nacional de Estándares y Tecnología (NIST, por sus siglas en inglés), organismo gubernamental estadounidense.

El viernes 8 de marzo de 2013, la base de datos se desconectó tras descubrirse que el sistema utilizado para gestionar varios sitios web gubernamentales había sido comprometido por una vulnerabilidad de software de Adobe ColdFusion . ^{[ 1 ] [ 2 ]}

Las vulnerabilidades en la NVD provienen de la lista de Vulnerabilidades y Exposiciones Comunes (CVE), mantenida por MITRE . Las nuevas vulnerabilidades son asignadas por MITRE y las Autoridades de Numeración de CVE y posteriormente agregadas a la NVD. ^{[ 3 ]}

Cuando se agregan vulnerabilidades a la lista de Vulnerabilidades y Exposiciones Comunes (CVE), el NVD les asigna una puntuación utilizando el Sistema Común de Puntuación de Vulnerabilidades (CVSS) . ^{[ 4 ] [ 5 ]} Esta puntuación se basa en métricas como la complejidad de acceso y el impacto potencial, ^{[ 6 ]} lo que permite a las organizaciones priorizar los esfuerzos de remediación según la gravedad. ^{[ 4 ]}

En junio de 2017, la empresa de inteligencia de amenazas Recorded Future reveló que el retraso medio entre la revelación de una CVE y su publicación final en la NVD es de 7 días y que el 75 % de las vulnerabilidades se publican de forma no oficial antes de llegar a la NVD, lo que da tiempo a los atacantes para explotar la vulnerabilidad. ^{[ 7 ]}

En agosto de 2023, el NVD inicialmente marcó un error de desbordamiento de enteros en versiones antiguas de cURL como una vulnerabilidad crítica de 9,8 sobre 10. El desarrollador principal de cURL, Daniel Stenberg, respondió diciendo que esto no era un problema de seguridad, que el error se había parcheado casi 4 años antes, solicitó que se rechazara el CVE y acusó al NVD de "alarmismo" y de "inflar enormemente el nivel de gravedad de los problemas". ^{[ 8 ]} MITRE no estuvo de acuerdo con Stenberg y rechazó su solicitud de rechazar el CVE, señalando que "hay una debilidad válida... que puede conducir a un impacto de seguridad válido". ^{[ 9 ]} En septiembre de 2023, el NVD volvió a calificar el problema como una vulnerabilidad "baja" de 3,3, afirmando que "puede (en teoría) causar una denegación de servicio" para los sistemas atacados, pero que este vector de ataque "no es especialmente plausible". ^{[ 10 ]}

• Vulnerabilidades y exposiciones comunes
• Enumeración de debilidades comunes
• Base de datos de vulnerabilidades de la Unión Europea
• Análisis de composición de software

• Sitio web oficial
• Protocolo de automatización de contenido seguro (SCAP)
• Tormenta de paquetes
• Base de datos de exploits
• Base de datos de contenido de seguridad