Common Platform Enumeration

Common Platform Enumeration (CPE) ist ein Industriestandard für eine einheitliche Namenskonvention informationstechnischer Systeme, Plattformen und Softwarepakete. Gemeinsam mit der CVE soll erreicht werden, dass Schwachstellen in Systemen eindeutig und vergleichbar bezeichnet werden. Der CPE-Standard besteht aus einer Syntaxbeschreibung für CPE-Namen, einer CPE-Sprachbeschreibung für XML, einer Algorithmenspezifikation für das Vergleichen von CPE-Namen und einem Verzeichnis aller bislang registrierten Produkte (CPE-Dictionary).

CPE ist Teil von SCAP und wird vom NIST administriert. CPE wurde ursprünglich von der MITRE Corporation vorangebracht. Im Frühjahr 2013 hat MITRE die Übergabe ans NIST angekündigt.

Aufbau der CPE-Namen

Basierend auf der generischen Syntax für URI beinhaltet der CPE-Standard eine formale Beschreibung, wie ein bestimmtes Produkt zu benennen ist. Jeder CPE-Name beginnt mit „cpe:/“, gefolgt von einem Buchstaben zur Unterscheidung, ob es sich um Hardware („h“), ein Betriebssystem („o“) oder eine Anwendung („a“) handelt.

cpe:/{part}:{vendor}:{product}:{version}:{update}:{edition}:{language}

Beispiel:

Vendor:	redhat
Product:	enterprise_linux
Version:	3
Update:	ga
Edition:	desktop

resultiert in cpe:/o:redhat:enterprise_linux:3:ga:desktop

Seit CPE version 2.3 gibt es zusätzlich das Format „formatted string binding“

cpe:2.3:{part}:{vendor}:{product}:{version}:{update}:{edition}:{language}:{sw_edition}:{target_sw}:{target_hw}:{other}

Beispiel:

cpe:2.3:a:apache:commons_io:2.8.0:*:*:*:*:*:*:*

Weblinks

• Offizielles CPE Verzeichnis beim NIST als Teil der NVD
• CPE Archive bei Mitre