El vicepresidente de MITRE, Yosry Barsoum, alertó sobre el fin del financiamento gubernamental para los programas CVE y CWE, lo cual podría causar una interrupción generalizada en la industria de la ciberseguridad. El proceso actual de contratación de MITRE para desarrollar, operar y modernizar estos programas vence el 16 de abril de 2025.
El rol del Programa CVE
El Programa CVE proporciona un sistema estandarizado para identificar y catalogar vulnerabilidades de ciberseguridad públicamente conocidas. A cada vulnerabilidad se le asigna un identificador único, lo que facilita la comunicación entre investigadores, proveedores y funcionarios de seguridad.
Este programa ha sido adoptado ampliamente en diversos sectores, desde la industria privada hasta las agencias nacionales de inteligencia. Ha servido como el estándar global de facto durante 25 años para ayudar a clasificar las vulnerabilidades de ciberseguridad.
MITRE mantiene CVE, el programa más crítico de los dos, con financiación de la División Nacional de Ciberseguridad del Departamento de Seguridad Nacional (DHS) de EE.UU. CVE es crucial para proporcionar precisión, claridad y estándares compartidos al analizar vulnerabilidades de seguridad.
Impacto potencial en la industria
La noticia llega en un momento en que se espera que CISA, principal agencia socia de MITRE en el Programa CVE, enfrente reducciones significativas en varios de sus equipos, incluyendo a los contratistas. Varios contratos ya se han rescindido dentro de la agencia o se han dejado caducar.
Los expertos en seguridad y líderes de la comunidad de ciberseguridad han expresado preocupación por el posible colapso del sistema, temiendo que los profesionales del sector carezcan de un método estandarizado para rastrear nuevos problemas de seguridad si se cierran los servidores y se corta el acceso a la API de CVE.
Según Jean Easterly, exdirector de CISA, el resultado inmediato probablemente sería el colapso de las herramientas y procesos de seguridad más confiables y el colapso de todos los esfuerzos de coordinación global. «Puede que el sistema CVE no sea noticia, pero es uno de los pilares más importantes de la ciberseguridad moderna. Perderlo sería como arrancar el catálogo de fichas de todas las bibliotecas a la vez», advirtió.
Respuesta inmediata del gobierno
Un portavoz de CISA declaró: «Aunque el contrato de CISA con MITRE Corporation expirará después del 16 de abril, estamos trabajando urgentemente para mitigar el impacto y mantener los servicios de CVE de los que dependen las partes interesadas globales».
Los problemas de MITRE para mantener la financiación del programa CVE se producen en un momento en que el NIST también se esfuerza por eliminar una gran cantidad de CVE atrasados que necesitan ser enriquecidos para su Base de Datos Nacional de Vulnerabilidades (NVD).
Acciones recientes
Anoche, CISA ejecutó el período de extensión de 11 meses del contrato, para garantizar que no haya interrupciones en los servicios críticos de CVE. El anuncio de CISA sobre la extensión se produjo pocas horas después de que un subgrupo de la Junta de CVE anunciara su intención de disolverse para mantener el programa bajo un nuevo organismo llamado Fundación CVE.
Se ha creado el sitio oficial https://www.thecvefoundation.org/