Ende der US-Finanzierung für MITREs CVE-Programm: Auswirkungen auf die Cybersicherheit

WASHINGTON / MÜNCHEN (IT BOLTWISE) – Die bevorstehende Einstellung der US-Regierungsfinanzierung für das CVE-Programm von MITRE sorgt in der Cybersicherheitsbranche für Besorgnis. Diese Entwicklung könnte weitreichende Folgen für die globale Sicherheitsinfrastruktur haben.

Die Entscheidung der US-Regierung, die Finanzierung des Common Vulnerabilities and Exposures (CVE) Programms von MITRE nicht zu verlängern, hat in der Cybersicherheitsgemeinschaft Alarm ausgelöst. Das CVE-Programm, das seit 1999 von MITRE betrieben wird, ist ein unverzichtbares Werkzeug zur Identifizierung und Katalogisierung von Sicherheitslücken. Ohne die notwendige finanzielle Unterstützung droht eine Unterbrechung, die die gesamte Sicherheitslandschaft destabilisieren könnte.

Yosry Barsoum, Vizepräsident von MITRE und Direktor des Center for Securing the Homeland, betonte in einem Schreiben an die CVE-Board-Mitglieder die potenziellen Auswirkungen eines solchen Dienstunterbrechung. Er warnte vor einer Verschlechterung nationaler Schwachstellendatenbanken und Sicherheitsberatungen, was die Arbeit von Tool-Anbietern und Incident-Response-Teams erheblich beeinträchtigen könnte.

Obwohl die Regierung weiterhin erhebliche Anstrengungen unternimmt, um MITREs Rolle im Programm zu unterstützen, bleibt die Zukunft des CVE-Programms ungewiss. Die Bedeutung des Programms für die Cybersicherheitsinfrastruktur kann nicht hoch genug eingeschätzt werden, da es als primäre Ressource für die Koordination und Priorisierung von Schwachstellen dient.

In Reaktion auf die drohende Finanzierungslücke hat das Cybersicherheitsunternehmen VulnCheck, ein CVE-Nummerierungsautorität (CNA), angekündigt, proaktiv 1.000 CVEs für das Jahr 2025 zu reservieren. Diese Maßnahme soll helfen, die Lücke zu schließen und die Kontinuität der Schwachstellenverwaltung zu gewährleisten.

Jason Soroko, Senior Fellow bei Sectigo, äußerte sich besorgt über die möglichen Folgen einer Dienstunterbrechung. Er betonte, dass ein solcher Ausfall die nationalen Schwachstellendatenbanken und Sicherheitsberatungen erheblich beeinträchtigen könnte, was wiederum die Arbeit von Tool-Anbietern und Incident-Response-Teams erschwert.

Tim Peck, Senior Threat Researcher bei Securonix, wies darauf hin, dass eine Unterbrechung massive Konsequenzen für das Cybersicherheitsökosystem haben könnte. CNAs und Verteidiger könnten Schwierigkeiten haben, CVEs zu erhalten oder zu veröffentlichen, was zu Verzögerungen bei der Offenlegung von Schwachstellen führen würde. Darüber hinaus sei das Common Weakness Enumeration (CWE) Projekt von entscheidender Bedeutung für die Klassifizierung und Priorisierung von Software-Schwächen.

Die Zukunft des CVE-Programms bleibt ungewiss, doch die Cybersicherheitsgemeinschaft ist entschlossen, die Kontinuität dieses kritischen Elements der Sicherheitsinfrastruktur zu gewährleisten. Die kommenden Monate werden entscheidend sein, um die langfristige Stabilität und Effektivität des Programms zu sichern.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!