CVE Check — آسیب‌پذیری‌های شناخته‌شده

راهنمای ابزار بررسی آسیب‌پذیری‌های شناخته‌شده

ابزار بررسی آسیب‌پذیری تله‌نگار (CVE Check) فهرست آسیب‌پذیری‌های شناخته‌شده (CVE) را برای نسخهٔ نرم‌افزارهایی که سایت شما اعلام می‌کند یا خودتان معرفی می‌کنید نشان می‌دهد؛ نرم‌افزارهایی مانند Apache و nginx و PHP و WordPress. داده‌های این ابزار از پایگاه ملی آسیب‌پذیری‌های آمریکا (NVD) گرفته می‌شود. CVE شناسهٔ یکتای هر آسیب‌پذیری عمومی است و به شکل CVE-2024-12345 نوشته می‌شود.

ابزار ابتدا صفحهٔ سایت را می‌خواند و از روی هدرها و نشانه‌های دیگر، نام و نسخهٔ نرم‌افزارهایی را که سایت آشکار کرده است پیدا می‌کند. سپس آن نسخه‌ها را با آسیب‌پذیری‌های ثبت‌شده مقایسه می‌کند. این ابزار فقط برای دامنه‌هایی کار می‌کند که مالکیت آن‌ها را در حساب کاربری خود تأیید کرده‌اید.

ابزار فقط اطلاعات می‌دهد: هیچ آزمایش یا حمله‌ای روی سایت انجام نمی‌شود و فقط نسخه‌ها با پایگاه داده تطبیق داده می‌شوند.

معنی درجهٔ شدت

CRITICAL بحرانی. خطرناک‌ترین دسته است و باید در اولین فرصت رسیدگی شود.

HIGH شدت بالا. اصلاح آن باید در اولویت باشد.

MEDIUM شدت متوسط. در برنامهٔ به‌روزرسانی عادی اصلاح شود.

LOW شدت کم. خطر محدودی دارد.

NONE بدون امتیاز شدت، یا هنوز ارزیابی نشده است.

پرسش‌های رایج

نتیجهٔ این ابزار را چطور بخوانم؟

نتیجه برای هر نرم‌افزار یک کارت جدا دارد. در هر کارت:

نام و نسخهٔ نرم‌افزار و منبعی که نسخه از آن به دست آمده است دیده می‌شود. برچسب «Declared by you» یعنی نسخه را خودتان وارد کرده‌اید.
تعداد آسیب‌پذیری‌ها به تفکیک درجهٔ شدت نوشته شده است.
هر CVE یک ردیف دارد با شناسه، امتیاز CVSS و تاریخ انتشار. با کلیک روی ردیف، توضیح و نسخه‌ای که مشکل در آن رفع شده (Fixed in) یا آخرین نسخهٔ تحت‌تأثیر (Affects up to) نمایش داده می‌شود.
اگر یک CVE با برچسب KNOWN EXPLOITED نشان داده شود، یعنی سازمان CISA آن را به‌عنوان آسیب‌پذیری‌ای ثبت کرده که در حملهٔ واقعی سوءاستفاده شده است. این موارد باید در اولویت قرار بگیرند.
اگر تعداد CVEها زیاد باشد، فقط شدیدترین‌ها نمایش داده می‌شوند و تعداد کل در یادداشت پایین فهرست می‌آید.

CVSS چیست و چه امتیازی خطرناک است؟

CVSS یک سیستم استاندارد امتیازدهی به شدت آسیب‌پذیری‌ها از 0 تا 10 است. هرچه امتیاز بالاتر باشد، آسیب‌پذیری خطرناک‌تر است. درجهٔ شدت (Critical و High و Medium و Low) از روی همین امتیاز تعیین می‌شود. امتیاز بالا لزوماً به این معنی نیست که سایت شما حتماً قابل نفوذ است، چون آسیب‌پذیری ممکن است به تنظیمات خاصی نیاز داشته باشد که در سرور شما فعال نیست.

اگر سایت من نسخهٔ نرم‌افزار را پنهان کرده باشد چه می‌شود؟

ابزار فقط وقتی می‌تواند بررسی کند که نسخهٔ کامل معلوم باشد. در این موارد پیام مربوط نمایش داده می‌شود:

نسخه پنهان است: سایت نام نرم‌افزار را نشان می‌دهد اما نسخه را نه. بررسی ممکن نیست و این به معنی نبودن آسیب‌پذیری نیست.
نسخه ناقص است: فقط بخشی از شمارهٔ نسخه (مثلاً 8) آشکار شده و برای تطبیق دقیق کافی نیست.

در هر دو حالت می‌توانید نسخهٔ کامل را در کادر «Software I run» وارد کنید تا همان نسخه بررسی شود.

کادر «Software I run» را چطور پر کنم؟

این کادر برای وقتی است که سایت نسخه‌ها را نشان نمی‌دهد یا می‌خواهید نسخهٔ دقیق خودتان را بررسی کنید:

هر نرم‌افزار را در یک خط بنویسید: اول نام و بعد نسخه، مانند nginx 1.18.0 یا PHP 8.1.2 یا WordPress 6.4.2.
حداکثر 10 خط پذیرفته می‌شود و خط‌های اضافه نادیده گرفته می‌شوند.
نسخه‌ای که خودتان وارد می‌کنید به‌جای نسخه‌ای که سایت نشان می‌دهد استفاده می‌شود و در نتیجه با برچسب «Declared by you» مشخص می‌شود.
فقط نرم‌افزارهایی که فهرستشان زیر کادر نوشته شده پشتیبانی می‌شوند. خط‌هایی که تشخیص داده نشوند، همان‌جا در نتیجه گزارش می‌شوند.

این متن فقط در مرورگر خود شما ذخیره می‌شود و برای دفعهٔ بعد باقی می‌ماند.

چرا دامنه باید تأیید شده باشد؟

این ابزار نسخهٔ نرم‌افزارهای یک سایت را آشکار می‌کند و آسیب‌پذیری‌های آن‌ها را فهرست می‌کند. چنین اطلاعاتی می‌تواند برای شناسایی هدف حمله هم استفاده شود. بنابراین ابزار فقط برای دامنه‌هایی کار می‌کند که مالکیت آن‌ها را ثابت کرده‌اید. تأیید از بخش «دامنه‌های تأییدشده» در صفحهٔ حساب کاربری انجام می‌شود: یا یک رکورد TXT در DNS دامنه اضافه می‌کنید یا یک فایل خالی با نام مشخص روی سایت می‌گذارید.

چرا ممکن است CVE فهرست‌شده روی سرور من وجود نداشته باشد؟

ابزار فقط شمارهٔ نسخه را با پایگاه داده تطبیق می‌دهد. بنابراین:

توزیع‌های لینوکس (مانند Ubuntu و Debian و Red Hat) اغلب اصلاحیهٔ امنیتی را به نسخه‌های قدیمی‌تر منتقل می‌کنند (Backport) و شمارهٔ نسخه را عوض نمی‌کنند. پس CVEای که فهرست شده ممکن است روی سرور شما قبلاً رفع شده باشد. اگر ابزار تشخیص دهد نسخه از یک توزیع لینوکس است، این موضوع را هشدار می‌دهد.
یک CVE ممکن است به تنظیمات یا ماژول خاصی نیاز داشته باشد که در سرور شما فعال نیست.
پیدا نشدن CVE در نتیجه به این معنی نیست که نرم‌افزار کاملاً بدون آسیب‌پذیری است.

بهترین کار این است که فهرست را با اطلاعات بسته‌های توزیع لینوکس خود، که اصلاحیه‌های امنیتی را اعلام می‌کند، مقایسه کنید.

چه نرم‌افزارهایی پشتیبانی می‌شوند؟

فهرست نرم‌افزارهای پشتیبانی‌شده زیر کادر «Software I run» در صفحه نوشته شده است. این فهرست شامل وب‌سرورهای رایج، زبان و محیط‌های اجرایی و سیستم‌های مدیریت محتوا است، مانند Apache و nginx و IIS و PHP و Node.js و OpenSSL و WordPress و Joomla و Drupal.

تفاوت CVE Check با Site Score چیست؟

ابزار CVE Check فقط آسیب‌پذیری‌های شناخته‌شدهٔ نسخهٔ نرم‌افزارها را فهرست می‌کند. ابزار Site Score پیکربندی سایت را از نظر HTTPS و هدرهای امنیتی و کوکی‌ها و افشای اطلاعات و موارد دیگر ارزیابی می‌کند و نمره می‌دهد. این دو مکمل یکدیگرند: یکی نسخه‌ها را بررسی می‌کند و دیگری تنظیمات را.

هزینهٔ این ابزار چقدر است و اگر سایت باز نشود چه می‌شود؟

هر بررسی از اعتبار حساب شما کم می‌شود و هزینهٔ آن در صفحهٔ ابزار و زیر کادر ورودی نوشته شده است. اگر ابزار نتواند سایت را دریافت کند، هزینه برگردانده می‌شود. در این حالت فقط نرم‌افزارهایی که خودتان در کادر «Software I run» وارد کرده‌اید بررسی می‌شوند.