1. 보안세미나 시리즈 II (참고)
취약점(Vulnerability) DB
구조 설명
Jacob
Jacob@UZEN.NET

2. NVD 취약점(Vulnerability) 자료 구조
항목 설명
Vulnerability ID CVE 식별자
Original release date 게시된 날짜
Last revised 마지막 수정 날짜
Source 취약점 정보 출처
Overview 요약 설명
CVSS Severity (version 2.0) CVSS에 의한 기본 점수
Impact
CVSS Version 2 Metrics CVSS Base 매트릭스의 요소 별 점수
References to Advisories, Solutions and Tool 취약점 대응책 등에 대한 링크
Vulnerable software and versions CPE 표기법을 사용하여 나타낸 취약 소프트웨어 및 버전
Vulnerability Type CWE를 기준으로 분류한 취약점 종류
Technical
Details
CVE Standard Vulnerability Entry CVE 링크

3. NVD 에서 사용하는 CWE 분류(23개) http://nvd.nist.gov/cwe.cfm
# CWE-ID Name
1 CWE-287 Authentication Issues
2 CWE-255 Credentials Management
3 CWE-264 Permissions, Privileges, and Access Control
4 CWE-119 Buffer Errors
5 CWE-352 Cross-Site Request Forgery (CSRF)
6 CWE-79 Cross-Site Scripting (XSS)
7 CWE-310 Cryptographic Issue
8 CWE-22 Path Traversal
9 CWE-94 Code Injection
10 CWE-134 Format String Vulnerability
11 CWE-16 Configuration
12 CWE-200 Information Leak / Disclosure
13 CWE-20 Input Validation
14 CWE-189 Numeric Errors
15 CWE-78 OS Command Injections

4. NVD 에서 사용하는 CWE 분류(23개) http://nvd.nist.gov/cwe.cfm
# CWE-ID Name
16 CWE-362 Race Conditions
17 CWE-399 Resource Management Errors
18 CWE-89 SQL Injection
19 CWE-59 Link Following
20 No Mapping Other
21 No Mapping Not in CWE
22 No Mapping Insufficient Information
23 No Mapping Design Error

5. OSVDB 취약점(Vulnerability) 자료 구조
항목 설명
Disclosure Date 취약점 공개 날짜
Discovery Date 취약점 발견 날짜
Exploit Publish Date 공격 코드가 공개된 날짜
TimeLine Solution Date 대응책이 제공된 날짜
Vendor Informed Date 벤더에게 취약점을 통보한 날짜
Vendor Ack Date 벤더로부터 응답을 받을 날짜
3rd Party Solution Date 벤더가 아닌 제 3자로부터 대응 책을 받은 날짜
Keywords 키워드
Description 개요
Classification 특정 기준을 통한 취약점 분류
Solution 해결 및 대응 방법
Products 취약점이 존재하는 제품
References CVE, Secunia, 벤더 등의 정보 링크
Credit 취약점 정보 작성자
CVSSv2 Score CVSS에 의한 취약점의 위험도 평가 점수
Blogs 해당 취약점이 소개된 블로그
Comments 추가 의견

6. OSVDB 의 Classification - Location
구분 설명
Physical Access Required 물리적 접근 필요
Local Access Required Unix shell과 같은 로컬 접근 필요
Remote/network access 유선 네트워크를 통한 공격 가능
Local/Remote 로컬과 원격 모두에서 공격 가능
Dial-up access 모뎀의 전화 걸기가 필요
Wireless vector 무선 통신을 이용한 공격 가능
Location unknown 정보 미발견
OSVDB 의 Classification - Impact
구분 설명
Loss of Confidentiality 기밀성 상실
Loss of Integrity 무결성 손실
Loss of Availability 가용성 상실

7. OSVDB 의 Classification – Attack Type
구분 설명
Authentication Management 인증 메커니즘을 우회
Cryptographic 암호 알고리즘의 취약점 이용
Denial of Service 서비스 거부 공격
Information Disclosure 민감 정보 유출
Infrastructure 인프라 장비 공격
Input Manipulation 예상되지 못한 입력 값을 통한 공격
Misconfiguration 잘못된 설정을 이용한 공격
Race Condition 경쟁 상태의 취약점을 이용한 공격
Other 지정된 공격 유형으로 분류 불가능
Attack Type Unknown 알려지지 않은 공격 유형

8. 일본 JVN 취약점(Vulnerability) 자료 구조
항목 설명
Titled(ID) 취약점 식별 번호
Critical 취약점의 중요성
Overview 취약점에 대한 요약
Products Affected 취약점이 존재하는 제품
Descriptions 취약점에 대한 설명
Impact 취약점이 공격 당했을 때의 영향
Solution 대응방안
Vendor Status 취약 제품의 벤더와 취약점에 대한 벤더의 대응 상태
References 외부 참고 링크
JPCERT/CC Addendum JPCERT/CC에서 제공하는 취약점의 추가 정보
Severity Analysis by JPCERT/CC JPCERT/CC에서 분석한 취약점의 위험도
Credit 취약점 정보 작성자
Other Information CPNI, CVE, NVD에 존재하는 취약점 정보의 링크
Note 추가정보
Update History 취약점 정보 수정 이력

9. 일본 JVN 취약점(Vulnerability) 식별 번호 부여 체계
Vulnerability ID System
Vulnerability ID used by the Vulnerability ID used on the
Information Provider
Information Provider JVN website
IPA, JPCERT/CC JVN#12345678 JVN#12345678
TA99-123A JVNTA99-123A
CERT/CC, US-CERT
VU#123456 JVNVU#123456
CPNI CPNI-123456 CPNI-123456

10. 일본 iPedia 취약점(Vulnerability) 자료 구조
항목 설명
Title(ID) 취약점 식별 번호
Overview 취약점에 대한 요약 설명
CVSS Severity CVSS 기본 매트릭스 평가 점수
Products Affected 취약 제품 정보
Impact 취약점이 공격 받았을 때 받는 영향
Solution 취약점에 대한 대응책
Vendors Status 취약 제품의 벤더와 취약점에 대한 벤더의 대응 상태
References CWE 정보 및 Secunia, OSVDB 등의 링크
업데이트 정보 취약점 정보 수정 이력

11. Secunia Advisories 취약점(Vulnerability) 자료 구조
항목 설명
Secunia Advisory 관리번호 SA#####
Release Date 최초 취약점 정보 발표일
Last Update 최종 취약점 정보 수정일
Popularity 조회 수
Comments 추가 의견
Criticality level 위험도
Impact 가능한 악성 행위
Where 공격 가능 장소
Authentication level 인증 수준
Report reliability 취약점 보고서의 신뢰도
Solution Status 현재 대응책의 상황
Systems affected 영향
Remediation status 치료 상태 여부 (CSI,PSI를 통해 치료가 되는지 여부)
Automated scanning 자동 감지 여부(CSI,PSI가 감지를 하는지 여부)
Software 해당 취약점이 존재하는 소프트웨어

12. Secunia Advisories 취약점(Vulnerability) 자료 구조(계속)
항목 설명
Secunia CVSS score Secunia 자체의 취약점 위험도 분류 점수 체계(비공개)
CVE reference(s) CVE의 관련 링크들
Description 취약점에 대한 설명
Solution 대응책
Provided and/or discovered by 최초 발견자
Original advisory 취약점의 최초 보고 링크
Technical Analysis 기술 분석
Deep links 외부 링크

13. Secunia Advisories 의 Criticality level
구분 설명
인터넷, 이메일 등 모든 네트워크를 통해 공격 가능하고, 어떠한 사용자의 조
Extremely Critical (5 of 5)
작이나, 설정 등을 필요로 하지 않는 것
Extremely Critical과 동일하지만, 취약점 공개 당시에 사용 가능한 알려진
High Critical (4 of 5)
공격 코드가 존재하지 않는 것
보통 DoS 공격이나, 사용자가 특정 행위를 했을 때만 발생하는 취약점 또는
Moderately Critical (3 of 5)
내부 네트워크 망 안에서 가능한 취약점
Less Critical (2 of 5) 사용자의 개인 정보를 빼내는 등의 XSS 등의 공격을 의미
매우 제한적인 권한에서만 공격 가능한 취약점 또는 로컬에서 DoS를 발생
Not Critical (1 of 5)
시키는 공격
Secunia Advisories 의 Where
구분 설명
Local System 공격을 위해서는 로컬 시스템 직접 접근해야 함
From local network 동일한 네트워크 상에 존재해야 공격이 가능 함
From remote 인터넷 등의 개방된 공용 네트워크 상에 존재하면 공격 가능