CVE, NVD and the zero-day — the clock between discovery and patch

A zero-day is a vulnerability with no patch available, and the CVE/NVD system is the public clock tracking it from disclosure to fix — the window during which everyone is exposed and priced.

Not yet scoped.

Why

The PoC traces one CVE's lifecycle (report → embargo → disclosure → patch → exploitation) and the exploit market around it, framing patch latency as the real risk metric.

How it works

Not yet built.

Where it lands in Jayverse

CI: track patch latency for the OpenZeppelin submodules and any other pinned dependency, not just whether a CVE exists. Alert when a fix has been available for N days and the pin hasn't moved.
Auditor: log each dependency upgrade's trigger, routine bump versus CVE response. So the "time exposed" number, not just "patched: yes/no," is visible in what Auditor publishes as checked.

Key expressions

Words and phrases from this page worth keeping, with the Korean meaning and the sentence they come from.

Expression	뜻 · 쓰이는 자리
the clock between	~사이의 시계(경과 시간) · 발견부터 패치까지 흐르는 시간을 재는 장치라는 비유 · "the public clock tracking it from disclosure to fix"
exposed and priced	노출되고 가격이 매겨지다 · 취약점이 알려지기 전까지 모두가 위험에 노출되고 그 위험이 시장에서 값이 매겨짐 · "everyone is exposed and priced"
embargo	(공개 금지) 엠바고 · 발견부터 공개까지 정보를 막아두는 기간 · "report → embargo → disclosure → patch"
lifecycle	생애주기 · 취약점이 보고부터 악용까지 거치는 전체 과정 · "traces one CVE's lifecycle"
patch latency	패치 지연(시간) · 실제 위험을 나타내는 핵심 지표로 제시됨 · "framing patch latency as the real risk metric"
CVE	공통 취약점 및 노출(Common Vulnerabilities and Exposures, CVE) · 취약점마다 부여되는 공개 식별 번호, 이 카드가 추적하는 생애주기의 단위. "The PoC traces one CVE's lifecycle"
NVD	국가 취약점 데이터베이스(National Vulnerability Database, NVD) · CVE를 공개 추적하는 미국 정부 데이터베이스. "the CVE/NVD system is the public clock tracking it"

← All Knowledge Notes · Workspace Index · Top ↑

CVE·NVD와 제로데이 — 발견과 패치 사이의 시계

제로데이는 패치가 없는 취약점이고, CVE/NVD 체계는 공개부터 수정까지 그것을 추적하는 공개 시계입니다 — 모두가 노출되고 값이 매겨지는 창입니다.

아직 범위 미정.

왜

이 PoC는 한 CVE의 수명주기(신고 → 엠바고 → 공개 → 패치 → 악용)와 그 주변 익스플로잇 시장을 추적하여, 패치 지연을 진짜 리스크 지표로 규정합니다.

동작 방식

아직 만들지 않음.

Jayverse에서의 위치

CI: OpenZeppelin 서브모듈 및 다른 고정 의존성의 패치 지연을 CVE 존재 여부뿐 아니라 시간으로 추적한다. 수정이 N일 이상 공개돼 있는데 핀이 아직 안 움직였으면 알림을 보낸다.
Auditor: 각 의존성 업그레이드의 계기를 기록한다, 정기 업데이트인지 CVE 대응인지. "패치됨: 예/아니오"만이 아니라 "노출된 시간"이 Auditor가 공개하는 확인 내역에 보이게 한다.

핵심 표현

이 페이지의 영어 본문에서 배울 만한 단어와 표현, 뜻과 나온 자리.

Expression	뜻 · 쓰이는 자리
the clock between	~사이의 시계(경과 시간) · 발견부터 패치까지 흐르는 시간을 재는 장치라는 비유 · "the public clock tracking it from disclosure to fix"
exposed and priced	노출되고 가격이 매겨지다 · 취약점이 알려지기 전까지 모두가 위험에 노출되고 그 위험이 시장에서 값이 매겨짐 · "everyone is exposed and priced"
embargo	(공개 금지) 엠바고 · 발견부터 공개까지 정보를 막아두는 기간 · "report → embargo → disclosure → patch"
lifecycle	생애주기 · 취약점이 보고부터 악용까지 거치는 전체 과정 · "traces one CVE's lifecycle"
patch latency	패치 지연(시간) · 실제 위험을 나타내는 핵심 지표로 제시됨 · "framing patch latency as the real risk metric"
CVE	공통 취약점 및 노출(Common Vulnerabilities and Exposures, CVE) · 취약점마다 부여되는 공개 식별 번호, 이 카드가 추적하는 생애주기의 단위. "The PoC traces one CVE's lifecycle"
NVD	국가 취약점 데이터베이스(National Vulnerability Database, NVD) · CVE를 공개 추적하는 미국 정부 데이터베이스. "the CVE/NVD system is the public clock tracking it"

← 전체 기술 노트 · 워크스페이스 인덱스 · 맨 위 ↑