CVE Numbering Authority (CNA).

CVE Numbering Authority(CNA)とは、CVE プログラム(MITRE Corporation が運営し、CISA が支援する)から権限を付与された組織で、定められたスコープに属する製品やプロジェクトの脆弱性に CVE ID を割り当て、CVE レコードを公開します。CNA にはベンダー、オープンソースプロジェクト、バグバウンティプラットフォーム、各国 CERT、研究機関などが含まれます。各 CNA は CNA Rules に従い、コーディネートディスクロージャの期限を遵守し、CVE Services API を通じて CVE List にレコード(CVE JSON 5.x)を提出します。上位の Root CNA(例: CISA-ICS や MITRE)は配下のサブ CNA を取りまとめ、紛争を仲裁します。CNA は CVE エントリが世界の脆弱性エコシステムに入る入り口となっています。