security - NVD JSON 提要、标签含义及其用途

Question

我开始从 NVD XML 提要转向 JSON 提要(因为从 2019 年 10 月起不再支持 XML)。现在我很难理解这些标签及其使用目的。

例如:

1. “配置”中的“运算符(operator)”标签有什么作用？

2. “影响”标签列出了与该 CVE-ID 关联的所有易受攻击的库，那么“配置”标签有什么用？因为其中指定的信息似乎只是从影响标签重复，除了 cpeId 也可以在影响标签内指定。

我尝试在 NVD 网站上搜索任何此类相关文档，但没有找到。JSON 模式没有提及细节或目的(如预期的那样)。

请指出是否有任何关于它的文件。

Answer 1

1. What purpose does "operator" tag inside "configuration" have?

每个 CVE 配置中都有一个明确的“运算符(operator)”用途。这是我试图解释的。

If a CVE configuration's nodes[...] array contains operator 'AND' then it must have at least two or more children representing a combination of logical AND between the children in order to qualify as vulnerable.

让我们看一个示例:对于“CVE-2018-4926”，我采用以下代码段:

  "configurations": {
    "CVE_data_version": "4.0",
    "nodes": [
      {
        "operator": "AND",
        "children": [
          {
            "operator": "OR",
            "cpe_match": [
              {
                "vulnerable": true,
                "cpe23Uri": "cpe:2.3:a:adobe:digital_editions:*:*:*:*:*:*:*:*",
                "versionEndIncluding": "4.5.7"
              }
            ]
          },
          {
            "operator": "OR",
            "cpe_match": [
              {
                "vulnerable": false,
                "cpe23Uri": "cpe:2.3:o:apple:iphone_os:-:*:*:*:*:*:*:*"
              },
              {
                "vulnerable": false,
                "cpe23Uri": "cpe:2.3:o:apple:mac_os_x:-:*:*:*:*:*:*:*"
              },
              {
                "vulnerable": false,
                "cpe23Uri": "cpe:2.3:o:google:android:-:*:*:*:*:*:*:*"
              },
              {
                "vulnerable": false,
                "cpe23Uri": "cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:*:*"
              }
            ]
          }
        ]
      }
    ]
 }

在上面的配置中，AND 运算符有两个 child 。请注意，:a: 用于 application，:o: 用于 cpe23Uri 中的 operating system。例如，

"cpe23Uri": "cpe:2.3:a:adobe:digital_editions:*:*:*:*:*:*:*:*",

AND

cpe23Uri": "cpe:2.3:o:apple:iphone_os:-:*:*:*:*:*:*:*"

现在，为了将 4.5.7 结尾的应用程序“adobe:digital_editions”版本限定为易受攻击，操作系统必须是 :o:apple:iphone_os 或 :o:apple :mac_os_x: OR o:google:android: OR cpe:2.3:o:microsoft:windows。

我们可以改写为:

以 4.5.7 结尾的 adobe digital_editions 应用程序版本易受上述操作系统的攻击。<​​/p>

什么是带走:

配置中的 AND 运算符总是带有以下两种可能:1.应用和操作系统2.硬件:h:和操作系统

If the configuration is without children, then any of cpe23Uri with hold to qualify the OS or application as vulnerable as shown in following two examples.

示例 1:用于应用程序的 OR 运算符

"configurations" : {
      "CVE_data_version" : "4.0",
      "nodes" : [ {
        "operator" : "OR",
        "cpe_match" : [ {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:a:oracle:flexcube_private_banking:2.0.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:a:oracle:flexcube_private_banking:2.0.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:a:oracle:flexcube_private_banking:2.2.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:a:oracle:flexcube_private_banking:12.0.1:*:*:*:*:*:*:*"
        } ]
      } ]
    },

示例 2:用于操作系统的 OR 运算符

    "configurations" : {
      "CVE_data_version" : "4.0",
      "nodes" : [ {
        "operator" : "OR",
        "cpe_match" : [ {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.0.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.0.2:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.1.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.1.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:6.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:6.0.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:7.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:7.1.0:*:*:*:*:*:*:*"
        } ]
      } ]
    },

我希望它现在会澄清一点。如果没有，我可以回答这方面的任何问题。

祝你好运!