java - 从 NVD 数据源中提取数据和 cpe_match 含义

Question

我的 IT 产品已定义 CPE，例如:cpe:/o:microsoft:windows_vista:6.0:sp1:~-~home_premium~-~x64~-

我正在使用 NVD 数据源来获取所有公开已知的漏洞。CVE 在 .json 文件中给出，每个 CVE 项下都有一个 configurations 节点。如果我想检查我的 CPE 是否存在于当前 CVE 项中，我想我必须检查配置节点，但我不确定“operator”:“OR”、“vulnerable”:false 的目的是什么。

我可以将我的 CPE 与 cpe23Uri 进行比较，还是我必须以某种方式考虑运营商和易受攻击的节点？

"configurations" : {
  "CVE_data_version" : "4.0",
  "nodes" : [ {
    "operator" : "AND",
    "children" : [ {
      "operator" : "OR",
      "cpe_match" : [ {
        "vulnerable" : true,
        "cpe23Uri" : "cpe:2.3:a:adobe:flash_player:*:*:*:*:*:*:*:*",
        "versionStartIncluding" : "10.3",
        "versionEndExcluding" : "10.3.183.19"
      }, {
        "vulnerable" : true,
        "cpe23Uri" : "cpe:2.3:a:adobe:flash_player:*:*:*:*:*:*:*:*",
        "versionStartIncluding" : "11.2",
        "versionEndIncluding" : "11.2.202.233"
      } ]
    }, {
      "operator" : "OR",
      "cpe_match" : [ {
        "vulnerable" : false,
        "cpe23Uri" : "cpe:2.3:o:apple:mac_os_x:-:*:*:*:*:*:*:*"
      }, {
        "vulnerable" : false,
        "cpe23Uri" : "cpe:2.3:o:linux:linux_kernel:-:*:*:*:*:*:*:*"
      }, {
        "vulnerable" : false,
        "cpe23Uri" : "cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:*:*"
      } ]
    } ]
  }]

Answer 1

这取决于您想要确定的信息。请注意，节点下半部分中的“OR”运算符仅适用于这三个项目之间，这三个项目一起与上半部分进行“AND”运算。相关节点的骨架结构为:

"operator" : "AND",
  "children" : [ {
    "operator" : "OR",
    "cpe_match" : [ {
      ...
    } ]
  }, {
    "operator" : "OR",
    "cpe_match" : [ {
      ...
    } ]
  } ]

(我已重新缩进，因为“子”节点在逻辑上位于“AND”内，即使它们在结构上处于同一级别。)

换句话说，需要匹配两个cpe23Uri才能满足该节点描述的条件:来自上半部分的任意一个和来自下半部分的任意一个。您的 Windows 示例似乎仅与后者匹配，并且不会与您系统的易受攻击的组件匹配。要确定您的系统是否容易受到攻击，您需要寻找与易受攻击的项目相匹配的组件。。