Wat is een CVE?
CVE staat voor Common Vulnerabilities and Exposures. Het is een internationaal systeem voor het identificeren en benoemen van bekende kwetsbaarheden (Security vulnerabilities) in software, hardware en Firmware.
Elke CVE krijgt een uniek identificatienummer, zoals CVE-2024-12345, en bevat informatie over de aard van de kwetsbaarheid en vaak ook de ernst ervan.
🎯 Waarom zijn CVE’s belangrijk?
CVE’s helpen organisaties om:
- Snel te herkennen of ze kwetsbare systemen gebruiken
- Updates en patches te prioriteren
- Automatische detectie en risicoanalyse mogelijk te maken
- Consistent taalgebruik te hanteren in communicatie over kwetsbaarheden
🔍 Voorbeeld van een CVE
CVE-2021-44228 – “Log4Shell”
Een ernstige kwetsbaarheid in de Apache Log4j Logging-library. Aanvallers konden via een eenvoudige string externe code uitvoeren (RCE). Impact: zeer hoog – wereldwijd misbruikt in veel systemen.
🧱 Wat bevat een CVE-record?
Een CVE-record bevat meestal:
- Het ID-nummer (bijv. CVE-2023-45678)
- Een beschrijving van de kwetsbaarheid
- De toepasselijke producten of versies
- De datum van publicatie
- (Vaak) een verwijzing naar een CVSS-score (ernstinschatting)
🧠 CVE & CVSS
De CVSS-score (Common Vulnerability Scoring System) bepaalt hoe ernstig een kwetsbaarheid is op een schaal van 0 tot 10:
| Score | Impactniveau |
|---|---|
| 0.0 – 3.9 | Laag |
| 4.0 – 6.9 | Medium |
| 7.0 – 8.9 | Hoog |
| 9.0 – 10.0 | Kritiek |
🔄 CVE’s in OT-context
In industriële omgevingen zijn CVE’s van groot belang voor:
- PLC’s, SCADA-systemen en industriële gateways
- Netwerkcomponenten zoals routers, switches, Firewalls
- Software zoals MES, HMI, Historians
- Risicogestuurde aanpak binnen IEC 62443 of CSIR
🔧 Voor kwetsbaarheden in industriële apparaten worden vaak CVE’s uitgegeven door leveranciers of ICS-CERT.
📌 Samengevat
Een CVE is een unieke identificatie van een bekende kwetsbaarheid, die organisaties helpt om snel te reageren op beveiligingsrisico’s. Het is een essentieel hulpmiddel in Patchmanagement, risicobeheer en informatiebeveiliging — ook in OT-omgevingen.