CVE Programm

[MAiKAeFeRLiKoER]

"Die Finanzierung des CVE-Programms läuft am 16. April 2025 aus, wie aus einem auf Bluesky veröffentlichten Brief hervorgeht. Dieser wurde von der Mitre Corporation, einer Organisation, die im Auftrag der US-Regierung Forschungsinstitute betreibt, an die Vorstandsmitglieder des CVE-Programms gesendet."
und weiter...
"In dem Brief heißt es: "Sollte es zu einer Unterbrechung des Betriebs kommen, erwarten wir vielfältige Auswirkungen auf CVE, einschließlich einer Verschlechterung der nationalen Schwachstellendatenbanken und -empfehlungen, der Anbieter von Tools, der Reaktion auf Vorfälle und aller Arten von kritischer Infrastruktur.""

Das prekäre daran: die weitere Finanzierung scheint derzeit nicht gesichert.

https://www.golem.de/news/cve-finan...icherheitsluecken-gefaehrdet-2504-195410.html

 

[Unfaced]

Hab das Thema auf heise.de zuerst gelesen heute. Zum Glück gibts noch https://www.cve.org/programorganization/cnas aber ich finde es irre, wie mit dem Thema umgegangen wird. CVE war bzw ist immer eine gute Quelle gewesen, um gutes Vulnerability Management machen zu können. Jetzt heißt es abwarten, was sich im detail tut. Eines ist jedoch klar, gut war dieser Schritt für Unternehmenssicherheit nicht.

 

[blautemple]

Update vom 16. April 2025, 16:15 Uhr:​

Das CVE-Programm wird von der neu gegründeten CVE-Foundation weitergeführt. Wie die Stiftung in einer Pressemitteilung bekanntgab, beschäftigte sich der CVE-Vorstand bereits seit längerem mit einem Plan für den Fall, dass die Finanzierung des Programms nicht verlängert werden sollte. "CVE ist als Eckpfeiler des globalen Cybersicherheitsökosystems zu wichtig, um selbst angreifbar zu sein", sagte Kent Landfield, ein leitender Angestellter der Stiftung.

Gab zum Glück schon ein Update.

Das wäre echt ein herber Verlust.

 

[Unfaced]

Gut zu wissen, danke dir.

 

[Capucius]

Für echte Sicherheit wäre es gut gewesen, wenn dieser Baustein des Security-Compliance-Theaters den Bach runter geht. Das saugt nur Tonnen an Ressourcen für ex post Security ab, anstelle echte ex ante Security zu machen und den Entwicklern die Möglichkeit zu geben sichere Anwendungen zu entwickeln. Und ganz zu schweigen von der furchtbaren Situation bei OSS...