Скачать или смотреть USENIX Security '25 — Смешивание значений с перечислением: изучение использования CVE в академиче...

Путаница в пересчете: изучение использования CVE в академических кругах

Мориц Шлёгель, Центр информационной безопасности им. Гельмгольца CISPA; Даниэль Клишиес, Рурский университет в Бохуме; Саймон Кох и Дэвид Кляйн, Брауншвейгский технический университет; Лукас Герлах, Центр информационной безопасности имени Гельмгольца CISPA; Малте Весселс, Брауншвейгский технический университет; Леон Трамперт, Центр информационной безопасности им. Гельмгольца CISPA; Мартин Джонс, Брауншвейгский технический университет; Мэти Ванхуф, DistriNet, КУ Левен; Михаэль Шварц и Торстен Хольц, Центр информационной безопасности им. Гельмгольца CISPA; Джо Ван Булк, DistriNet, Лёвенский католический университет
Лауреат премии «Выдающаяся статья»

Идентификаторы распространённых уязвимостей и уязвимостей (CVE) служат уникальными идентификаторами ошибок, связанных с безопасностью, упрощая чёткую коммуникацию и отслеживание затронутых продуктов. Изначально предназначенная исключительно для идентификации, система CVE столкнулась с растущей критикой из-за ошибочного представления о том, что присвоение CVE подразумевает наличие серьёзной проблемы безопасности. В частности, в научных работах по уязвимостям безопасности часто упоминаются CVE, предположительно для демонстрации практического влияния используемых методов. Мы систематически изучаем использование CVE в научных работах, чтобы лучше понять взаимосвязь академических CVE с реальными последствиями. С этой целью мы представляем тенденции, выявленные нами с помощью количественного анализа, качественного обзора опубликованных статей и опроса пользователей. Мы наблюдаем явный сдвиг в сторону более частого использования CVE в научных работах за последние 25 лет, особенно в определённых областях исследований. Наш качественный анализ 1803 уязвимостей CVE, заявленных в статьях, опубликованных за последние пять лет, показывает, что 34% из них не были публично подтверждены или оспорены разработчиками затронутого программного обеспечения, что ставит под сомнение возможность их реального воздействия. Наш опрос 103 академических рецензентов и авторов выявил распространённые заблуждения о системе CVE и явное предпочтение сообщать о количестве уязвимостей CVE, но не выявил какой-либо скрытой предвзятости в процессе рецензирования. Мы рекомендуем с осторожностью использовать CVE в качестве показателя реального воздействия и предоставляем практические рекомендации для академического сообщества и специалистов по безопасности.

С полной программой конференции USENIX Security '25 можно ознакомиться по адресу https://www.usenix.org/conference/use...