Security NVD JSON提要、标记的含义及其用途

我开始从NVD XML提要转向JSON提要（因为从2019年10月起不再支持XML）。现在我很难理解标签及其使用目的

例如：

“配置”中的“操作员”标签有什么用途

“影响”标签列出了与该CVE-ID关联的所有易受攻击的库，那么“配置”标签的用途是什么？因为在它们内部指定的信息似乎只是来自impacts标记的重复，除了cpeId，它也可以在impacts标记内部指定

我试图在NVD网站上搜索任何此类相关文档，但找不到。 JSON模式没有提到细节或目的（正如预期的那样）

请指出是否创建了关于它的任何文档

Configuration tag指定导致该漏洞的特定配置/环境。Operator基于看到it的许多不同用途，旨在描述不同的产品版本。例如，下面是CVE-2003-0001的配置密钥下的节点密钥副本

此处的运算符表示该漏洞可能出现在上述cpe23Uri上的任何位置。 1.“影响”列出了供应商名称、产品名称和版本详细信息。是的，考虑到提到的配置，这是多余的。CPE 2.3的目的是在行业的帮助下识别每个软件产品。考虑到冗余，您会发现NVD在2019年9月改变了is模式

最后，以字段描述的名义，可以在提供的模式中找到详细信息（同意，这是不够的）。（v1.1） （v1.0）

1。“配置”中的“操作员”标签有什么用途？

每个CVE配置中都有一个明确的“操作员”目的。这就是我要解释的

如果CVE配置的节点[…]数组包含运算符“AND”，则它必须至少有两个或更多子级，表示子级之间的逻辑AND组合，才能被认定为易受攻击

让我们看一个例子：对于“CVE-2018-4926”，我取以下片段：

  "configurations": {
    "CVE_data_version": "4.0",
    "nodes": [
      {
        "operator": "AND",
        "children": [
          {
            "operator": "OR",
            "cpe_match": [
              {
                "vulnerable": true,
                "cpe23Uri": "cpe:2.3:a:adobe:digital_editions:*:*:*:*:*:*:*:*",
                "versionEndIncluding": "4.5.7"
              }
            ]
          },
          {
            "operator": "OR",
            "cpe_match": [
              {
                "vulnerable": false,
                "cpe23Uri": "cpe:2.3:o:apple:iphone_os:-:*:*:*:*:*:*:*"
              },
              {
                "vulnerable": false,
                "cpe23Uri": "cpe:2.3:o:apple:mac_os_x:-:*:*:*:*:*:*:*"
              },
              {
                "vulnerable": false,
                "cpe23Uri": "cpe:2.3:o:google:android:-:*:*:*:*:*:*:*"
              },
              {
                "vulnerable": false,
                "cpe23Uri": "cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:*:*"
              }
            ]
          }
        ]
      }
    ]
 }

在上面的配置中，和运算符有两个子项。请注意，cpe23Uri中的

：a:

用于

应用程序

，

：o:

用于

操作系统

。例如

"cpe23Uri": "cpe:2.3:a:adobe:digital_editions:*:*:*:*:*:*:*:*",

AND

cpe23Uri": "cpe:2.3:o:apple:iphone_os:-:*:*:*:*:*:*:*"

现在，为了证明以4.5.7结尾的应用程序“adobe:digital_Edition”版本有漏洞，操作系统必须是

：o:apple:iphone_os

或

：o:apple:mac_os_x:

或

o:google:android:

或

cpe:2.3:o:microsoft:windows

我们可以将其改写为：

adobe digital_Edition应用程序版本在4.5.7版本结束时易受上述操作系统的攻击

什么是外卖：

配置中的AND操作员将始终具有以下两种可能性： 1.应用程序和操作系统 2.硬件

：h:

和操作系统

如果配置没有子项，则任何带有hold的

cpe23Uri

都将操作系统或应用程序视为易受攻击，如以下两个示例所示

示例1：应用程序的OR运算符

"configurations" : {
      "CVE_data_version" : "4.0",
      "nodes" : [ {
        "operator" : "OR",
        "cpe_match" : [ {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:a:oracle:flexcube_private_banking:2.0.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:a:oracle:flexcube_private_banking:2.0.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:a:oracle:flexcube_private_banking:2.2.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:a:oracle:flexcube_private_banking:12.0.1:*:*:*:*:*:*:*"
        } ]
      } ]
    },

示例2：操作系统的for或operator

    "configurations" : {
      "CVE_data_version" : "4.0",
      "nodes" : [ {
        "operator" : "OR",
        "cpe_match" : [ {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.0.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.0.2:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.1.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.1.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:6.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:6.0.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:7.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:7.1.0:*:*:*:*:*:*:*"
        } ]
      } ]
    },

我希望现在能澄清一点。如果没有，我可以回答这方面的任何问题

祝你好运

    "configurations" : {
      "CVE_data_version" : "4.0",
      "nodes" : [ {
        "operator" : "OR",
        "cpe_match" : [ {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.0.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.0.2:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.1.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:5.1.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:6.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:6.0.1:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:7.0:*:*:*:*:*:*:*"
        }, {
          "vulnerable" : true,
          "cpe23Uri" : "cpe:2.3:o:google:android:7.1.0:*:*:*:*:*:*:*"
        } ]
      } ]
    },