CVEプログラム継続決定 - 停止時はどんな影響が想定されたのか？

米国政府支援のもと非営利団体であるMITREが運営する共通脆弱性識別子「CVE（Common Vulnerabilities and Exposures）プログラム」の契約問題で期間延長が発表された。

契約期限直前に情報が錯綜し、プログラムが停止する影響に対する不安の声も見られたが、CVE番号を採番する実務を担うCNA機関は、今回の問題とどのように接していたのか。JPCERTコーディネーションセンターに同問題の状況や影響について話を聞いた。

MITREから停止リスクの事前通告なし。その後影響回避の連絡が

同センターによれば、関係者の書簡をきっかけに問題が急浮上することとなったが、サービス停止に関して、事前にMITREから正式なアナウンスなどは行われておらず、4月16日の報道を見て問題を把握し、情報収集を進めていたという。

その後、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）がサービス停止の回避をアナウンスしたが、同センターに対しても、4月17日にMITREから「CVEプログラム」や「CWE（Common Weakness Enumeration）プログラム」のサービス停止が回避されたとの通知が行われた。

MITREが進めてきたこれらプログラムについてJPCERT/CCは、国や地域、組織などの垣根を超え、相互の協力に基づいた活動として成り立っていると指摘。各プログラムのボードメンバーをはじめ、多くの人々が議論に参加し、さまざまな意見や提案が自由に行われてきたと話す。

プログラムの事務局には、中立性や公平性が求められ、関係者がバランスを保ちながら運営されており、今回の問題を通じてCNAなどのプログラムの参加組織は、「CVE」や「CWE」などの基盤の重要性をあらためて実感しているという。

（Security NEXT - 2025/04/18 ）ツイート

CVEプログラム継続決定 - 停止時はどんな影響が想定されたのか？

MITREから停止リスクの事前通告なし。その後影響回避の連絡が

関連リンク

PR

関連記事