応用情報技術者試験 応用情報技術者試験 令和6年度秋期 午前 問41: JVN などの脆弱性情報サイトで採用されている CVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

正解

ウ. 製品に含まれる脆弱性を識別するための識別子

正答率 67.6%（728人中 492人が正解）

問題の解説

CVE は、公開されている個々の脆弱性に付ける共通の識別番号で、CVE-西暦-連番 の形式をとる。製品ごとに呼び名が違っても同じ脆弱性を一意に指し示せるので、JVN などの脆弱性情報サイトで参照に使われる。設定項目の識別子(CCE)や製品名の識別子(CPE)とは別物である。

選択肢ごとの解説

• アセキュリティ設定項目を識別するのは CCE(共通セキュリティ設定一覧)である。CVE は脆弱性の識別子である。
• イ改ざんされた Web サイトの画面を識別するための識別子は、CVE にはない。CVE は脆弱性そのものに付ける番号である。
• ウ正しい。CVE は、製品に含まれる脆弱性を識別するための識別子である。
• エセキュリティ製品の種別を識別するものではない。製品名やバージョンの識別は CPE(共通プラットフォーム一覧)で、CVE は脆弱性を識別する。