CPE

Common Platform Enumeration (CPE) on kyberturvallisuudessa käytetty IT-tuotteiden jäsennelty nimeämiskäytäntö: sovellukset, käyttöjärjestelmät ja laitteisto. NIST on määritellyt version 2.3 julkaisussa NISTIR 7695 (elokuu 2011). National Vulnerability Database (NVD) käyttää CPE-nimiä ilmoittaakseen, mihin tuotteisiin CVE vaikuttaa, ja ylläpitää virallista CPE-sanakirjaa.

CPE 2.3 -formaatti

CPE 2.3 -nimessä on etuliitteen cpe:2.3 jälkeen 11 attribuuttia: part, vendor, product, version, update, edition, language, sw_edition, target_sw, target_hw ja other. Part on a sovellukselle, o käyttöjärjestelmälle ja h laitteistolle. * tarkoittaa mitä tahansa arvoa ja - tarkoittaa, ettei attribuutti ole sovellettavissa.

cpe:2.3:a:microsoft:internet_explorer:8.0.6001:beta:*:*:*:*:*:*
cpe:2.3:a:lodash:lodash:4.17.20:*:*:*:*:node.js:*:*
cpe:2.3:h:raspberrypi:raspberry_pi_4_model_b:-:*:*:*:*:*:*:*

Ensimmäinen on spesifikaation esimerkki. Toinen on npm-kirjasto lodash, jonka kohdeohjelmisto on node.js. Kolmas on laitteistotuote. Kaikki kolme ovat NVD:n sanakirjassa.

Miten CPE-vertailu toimii ja missä se menee pieleen

NVD-tietue luettelee CPE:t, joita CVE koskee, usein versiovälein. Skanneri muuttaa SBOM:n jokaisen komponentin CPE-arvaukseksi ja vertaa. Kolme asiaa menee pieleen:

• Monitulkintaiset nimet. Sanakirjan valmistaja ja tuote eivät aina vastaa sitä, miksi pakettia kutsutaan sen ekosysteemissä. xz-kirjasto on cpe:2.3:a:tukaani:xz, kun taas Debian toimittaa sen pakettina xz-utils. Paketin nimestä muodostettu arvaus osuu väärään tuotteeseen tai ei mihinkään.
• Liian laajat välit. Soveltuvuusmääritys voi kattaa versioita tai alustoja, joihin haavoittuvuus ei vaikuta, esimerkiksi tuotteen kaikki versiot, vaikka vain yksi build-kokoonpano oli haavoittuva. Jokaisesta osuvasta komponentista tulee havainto, jolle on tehtävä triage.
• Puuttuvat tiedot. NIST kertoo, että "NVD:lle kertyi vuoden 2024 alusta alkaen merkittävä jono rikastamattomia CVE:itä". 15.4.2026 alkaen NVD rikastaa CVE:itä prioriteetin mukaan (ensin CISA:n KEV-luettelon merkinnät, Yhdysvaltain liittovaltion käyttämät ohjelmistot ja EO 14028:n mukaiset kriittiset ohjelmistot) ja merkitsee loput tunnisteella "Lowest Priority - not scheduled for immediate enrichment" (NIST). CVE Numbering Authorityt voivat ilmoittaa CVE-tietueessa haavoittuvat tuotteet CPE:t mukaan lukien, ja NVD on kesäkuusta 2026 lähtien lisännyt CNA:iden ja ADP:iden toimittamat tiedot tietueisiinsa, mutta kattavuus vaihtelee CNA:ittain. Yocto Projectin 5.2-version julkaisutiedote sanoo vaikutuksen suoraan: CPE-pohjaisissa tarkistuksissa "joitakin haavoittuvuuksia ei yksinkertaisesti raportoida".

Väärän tuotteen osuma on yksi väärien positiivisten lähde; katso miten haavoittuvuuskohinaa vähennetään.

CPE vs. Package URL

	Package URL	CPE
Kuka määrittää nimen	Paketin ekosysteemi	NVD:n CPE-sanakirja
Tunnistaa	Paketin rekisterissä tai jakelussa	Tuotteen, myös laitteiston ja käyttöjärjestelmät
Formaatti	pkg:type/namespace/name@version	cpe:2.3:part:vendor:product:version:...
Standardi	ECMA-427	NISTIR 7695 (CPE 2.3)
Käyttäjät	OSV, GitHubin tietoturvatiedotteet, SBOM-työkalut	NVD, monet skannerit
Tyypillinen virhe	Puuttuu repositorioon kopioidusta tai käsin listatusta koodista	Monitulkintaiset valmistaja- ja tuotenimet; ei CPE-tietoja monille uusille CVE:ille

Käytä package URL:ia kaikkialla, missä on paketti-ekosysteemi, CPE:tä kaupallisille tuotteille, laiteohjelmistoille ja laitteistolle, ja molempia, kun vaatimus edellyttää molempia. CISA:n 2026 Minimum Elements nimeää CPE:n ja Package-URL:n yleisiksi tunnisteiksi, ja BSI TR-03183-2 edellyttää tällaisia tunnisteita jokaiselle komponentille, jolle niitä on olemassa.

CPE:t SBOM:eissa

CycloneDX:ssä jokaisella komponentilla on cpe-kenttä, ja SPDX kuljettaa CPE:t ulkoisina tunnisteina. Jos olet toimittaja, merkitse se CPE, jota NVD todella käyttää tuotteestasi (katso se sanakirjasta), äläkä keksi omaa: keksitty CPE ei osu mihinkään. Tunnisteet ovat yksi osa SBOM:n kenttien laatua; se, puuttuuko listalta jotain, on erillinen kysymys, SBOM:n kattavuus.

CRACI tunnistaa jokaisen paketin, jonka buildi tuo mukanaan, sen package URL:n perusteella. Katso buildin aikana tallennetut SBOM:t.