Database met beveiligingslekken op zwart na gebrek aan financiering
MITRE is verantwoordelijk voor het Common Vulnerabilities and Exposures (CVE)-programma, dat sinds 1999 wereldwijd bekende beveiligingslekken in software registreert en van unieke identificatienummers voorziet. Zo’n nummer begint met CVE, gevolgd door het jaartal en een unieke code van vijf cijfers. Deze codes duiken onder meer op in Microsofts maandelijkse Patch Tuesday-bulletins voor Windows en de updates die Apple uitrolt voor iPads, iPhones en Macs.
Contract met CISA stopgezet
Om dit programma in stand te houden, is MITRE – een non-profitorganisatie – afhankelijk van financiering door de Amerikaanse overheid. Die financiering loopt vandaag echter af, waardoor de database woensdag offline gaat, meldt persbureau Reuters. Het Amerikaanse ministerie van Binnenlandse Zaken bevestigt tegen Reuters dat het contract tussen MITRE en de Cybersecurity en Infrastructure Security Agency (CISA) is beëindigd.
Vooralsnog is er geen alternatief beschikbaar voor de database met beveiligingslekken. Het is bovendien de vraag of en wanneer er een alternatief komt. Mogelijk kunnen private partijen gezamenlijk een nieuwe versie opzetten of het MITRE-project voortzetten via gezamenlijke financiering. Wel is het van belang dat een eventuele opvolger de terminologie blijft hanteren die door MITRE is gestandaardiseerd. Voordat MITRE in 1999 met het CVE-programma begon, bestond er een versnipperd landschap van partijen die elk op hun eigen manier beveiligingslekken registreerden.
Gevolg van DOGE-operatie
Het einde van de MITRE-financiering wordt door sommigen in verband gebracht met het Department of Government Efficiency (DOGE), een initiatief van Elon Musk. Met DOGE wil Musk de overheidsuitgaven in de VS met miljarden dollars terugdringen. Inmiddels zijn duizenden ambtenaren ontslagen en zijn diverse overheidsprogramma’s geschrapt. Hoeveel geld de overheid met het stopzetten van het MITRE-contract precies bespaart, is niet bekend.
Beveiligingsonderzoekers luiden intussen de noodklok over de mogelijke gevolgen van het verdwijnen van de CVE-database. Systeembeheerders gebruiken de database momenteel om hun systemen veilig te houden en beveiligingslekken te prioriteren op basis van hun ernstscore. Zonder centrale CVE-database zullen bedrijven straks zelf op zoek moeten naar informatie over kwetsbaarheden bij individuele leveranciers.
