Националният институт по стандартизация и технологии (NIST) обяви, че всички CVE, публикувани преди 1 януари 2018 г., ще бъдат отбелязани като „отложени“ в Националната база данни за уязвимости (NVD).
Това означава, че тъй като CVE са стари, NIST вече няма да дава приоритет на актуализирането на данните за обогатяване на NVD или първоначалното обогатяване на NVD за тях, освен ако не са или не са били включени в каталога Known Exploited Vulnerabilities (KEV) на CISA.
„CVE, маркирани като отложени, ще показват банер на техните страници с подробна информация за CVE, указващ този статус. Тази промяна ще бъде извършена в рамките на няколко нощи. Правим това, за да осигурим допълнителна яснота по отношение на това кои записи на CVE са приоритетни“, обяви NIST.
„Ще продължим да приемаме и разглеждаме искания за актуализиране на метаданните, предоставени за тези CVE записи. Ако някоя нова информация ясно показва, че е подходящо да се актуализират данните за обогатяване на CVE, ще продължим да приоритизираме тези искания, доколкото времето и ресурсите позволяват“, заявиха от NIST.
Малко след съобщението броят на записите в CVE, отбелязани като отложени, скочи до 20 000. Общият брой обаче скоро може да достигне 100 000: както посочи изследователят на уязвимости Патрик Гарити, приблизително всеки трети CVE в NVD е по-стар от 2018 г.
Тази промяна на приоритетите не е изненадваща. Борейки се с нарастващите забавяния в анализа на CVE, NIST търси начини да изчисти изоставането на CVE повече от година, включително чрез външна помощ.
Преди една година институтът беше доста уверен, че ще изчисти изоставането до края на финансовата 2024 г., но не успя да го направи, главно защото не можеше ефективно да импортира и обогатява данните, които получаваше.
„За да се справим с този проблем, разработваме нови системи, които ще ни позволят да обработваме по-ефективно постъпващите данни от ADP“, заяви NIST през ноември.
Миналия месец обаче тя разкри, че 32% увеличение на подадените данни през миналата година е довело до нарастващо изоставане и че усилията ѝ са се спънали. Тъй като през тази година се очаква темпът на подаване на заявки да се увеличи, се обмисля приемането на изкуствен интелект и машинно обучение.
