CVE·CWE·CVSS

01무엇이고, 어떤 일을 하나

• 다른 보고서가 같은 취약점을 가리키는지 연결한다.
• 공급업체 권고의 영향 버전·설정·수정 조건을 확인한다.
• 공격 조건과 영향을 점수 벡터 및 환경 문맥으로 설명한다.

02어떤 순서로 동작하나

1. CVE와 CVSS

   CVE는 공개 취약점을 식별하는 번호이지 모든 시스템에서 실행 가능한 공격의 보증서가 아니다. CVSS 점수는 버전과 vector가 함께 있어야 해석 가능하다.

2. 버전 추정 한계

   공격 조건·필요 권한·사용자 상호작용·영향 평가를 읽고 자산의 노출과 업무 중요도를 별도로 판단한다. 배포판이 수정 사항을 백포트하면 표시된 기본 버전이 낮아도 취약한 코드가 그대로 남았다고 볼 수 없다.

3. 권고·설정 대조

   벤더 권고의 affected/fixed 버전, 패키지 릴리스, 활성 기능, 관련 설정을 대조한 뒤 자신의 환경에 적용되는 결론을 쓴다. 배너가 숨겨져 있거나 제품이 추정뿐이면 그 불확실성도 결과에 남긴다.

4. 운영 영향

   침해가 이미 확인된 시스템에서는 패치만 적용한 것과 공격자의 잔존 변경을 제거한 것이 동일하지 않다.

03먼저 알아둘 용어와 구성요소

CVE

개별 공개 취약점의 식별 기록.

CWE

결함이 생기는 약점 유형의 분류.

CVSS vector

선택한 지표 값을 재현 가능하게 표현한 문자열.

Vendor advisory

영향 제품·수정판·완화 조건을 설명하는 공급업체 권고.

04예제로 따라가기

• 서비스 배너가 취약한 상위 버전처럼 보여도 공급업체가 보안 패치를 백포트했다면 실제 영향 여부가 달라질 수 있다.
• CVSS v3.1과 v4.0의 점수·벡터를 같은 공식으로 섞어 계산하지 않는다.
• 같은 취약점도 외부 노출·자산 중요도·필요 권한·이미 적용된 완화책에 따라 대응 우선순위가 달라질 수 있다.

05혼동하기 쉬운 점과 확인 기준

• CVSS는 자산 중요도와 사업 손실을 모두 포함하는 자동 우선순위 점수가 아니다.
• CVE 매칭이 없어도 자체 애플리케이션의 인가·설계 결함이 안전하다는 뜻은 아니다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.