CVE Tracker: Ein neues Werkzeug zur Verfolgung von Sicherheitslücken
Auf Hacker News wird ein neuer CVE Tracker vorgestellt, der Schwachstellen übersichtlich bündeln soll. Die Diskussion dreht sich um Nutzen und Grenzen solcher Tools im Alltag von Entwicklern und Sicherheitsteams. Die verlinkte Seite selbst war beim Abruf nicht erreichbar.
Die verlinkte Seite konnte nicht abgerufen werden.
- philips
Ich denke, eine knifflige Sache bei diesen Metriken ist, dass GitHub und der Linux-Kernel Mitte 2024[1] und Mitte 2025[2] zu ihren eigenen CNAs wurden. Das hat eine Menge neuer Automatisierung ausgelöst und die Hürden gesenkt, tatsächlich eine CVE einzureichen.
Als kleiner Datenpunkt: Ich habe ein Obsidian-Plugin mit über 20.000 Downloads, und es bekam eine CVE für eine Beta-Version wegen eines fehlerhaften Pfad-Regex. Ich habe das Gefühl, das wäre vor zwei Jahren nie passiert.
Also, ich finde, die Messlatte dafür, dass eine CVE vergeben wird, ist 2025+ VIEL VIEL niedriger als vorher.
[1]: http://www.kroah.com/log/blog/2024/02/13/linux-is-a-cna/
[2]: https://github.blog/security/vulnerability-research/how-to-r...
- tomxor
Ich war misstrauisch, dass das Fehlen eines Schweregrad-Filters den Trend übertreibt ...
Aber dann fand ich das hier:
https://craci.com/resources/CVE-publication-trends?sev=criti...
Der Trend für kritische CVEs ist tatsächlich schlimmer, etwa 25-mal so hoch wie 2020, verglichen mit allen CVEs, die etwa 5-mal so hoch sind wie 2020.
- danso
Es ist beeindruckend, dass die Zahl der vergebenen CVEs in den letzten zwei Jahren in die Höhe geschossen ist, wenn man bedenkt, wie stark DOGE die Cybersecurity-[0]-Behörden ausgenommen hat. Leider wissen wir nicht, wie riesig der Rückstand inzwischen geworden sein mag
[0] https://www.securityweek.com/mitre-signals-potential-cve-pro...
- k2enemy
Cool. Das wäre mit einer logarithmischen Skala leichter zu interpretieren. Es gibt eine Option dafür, aber wenn ich darauf klicke, ändert sich das Diagramm nicht und die Seite friert bei mir ein.
- xnx
Andere haben darauf hingewiesen, dass wir dachten, wir würden Sicherheitslücken durch KI-Code bekommen, aber es stellt sich heraus, dass KI Schwachstellen in jahrzehntelangem menschlichem Code aufdeckt.