Inteligência de CVE e vulnerabilidades para agentes de IA.

NVD, EPSS, CISA KEV, GitHub Advisory, OSV, Shodan, VulnCheck, Vulners, Nuclei, Metasploit, CIRCL, AttackerKB e MITRE ATT&CK — unificados em um único servidor MCP.
Seu agente de IA obtém inteligência de vulnerabilidades sob demanda, não um relatório de 200 páginas.

O Problema • Como é Diferente • Início Rápido • O que a IA Pode Fazer • Ferramentas • Fontes de Dados • Arquitetura

--- ## O Problema A inteligência de vulnerabilidades está espalhada por múltiplos bancos de dados. O NVD tem detalhes de CVE. O EPSS informa a probabilidade de exploração. O CISA KEV rastreia vulnerabilidades ativamente exploradas. O GitHub Advisory cobre pacotes de código aberto. O OSV mapeia vulnerabilidades para versões específicas de pacotes. O Shodan rastreia exposição na internet. O Nuclei e o Metasploit informam se existe um exploit funcional. Nenhuma ferramenta única os agrega, e nenhuma funciona com agentes de IA. ``` Fluxo de trabalho tradicional: pesquisar no NVD por detalhes de CVE → navegar em uma UI web desajeitada verificar EPSS para risco de exploração → API separada, formato separado consultar status do CISA KEV → baixar um feed JSON manualmente pesquisar GitHub advisories → mais uma interface consultar OSV para impacto em pacotes → API diferente, esquema diferente verificar Shodan para exposição → assinatura separada procurar exploits Nuclei/MSF → busca manual no GitHub mapear para técnicas ATT&CK → consulta MITRE separada correlacionar tudo → copiar e colar em uma planilha ────────────────────────────────── Total: 30+ minutos por CVE, mais para triagem em massa ``` **cve-mcp** dá ao seu agente de IA 41 ferramentas via [Model Context Protocol](https://modelcontextprotocol.io). O agente consulta 11 fontes em paralelo, correlaciona dados, detecta sinais de armamento, calcula pontuações de risco e informa exatamente o que importa. ``` Com cve-mcp: Você: "Priorize estas 10 CVEs por risco real de exploração" Agente: → busca pontuações CVSS do NVD → obtém probabilidade de exploração EPSS para cada uma → verifica CISA KEV para ativamente exploradas → cruza referências com GitHub advisories para patches → "3 são críticas: CVE-2024-3400 (EPSS 97%, no KEV), CVE-2023-44487 (HTTP/2 rapid reset, EPSS 96%), CVE-2021-44228 (Log4Shell, EPSS 97%, no KEV). Aqui estão os patches e versões afetadas..." ``` --- ## Como é Diferente Ferramentas existentes fornecem dados brutos. cve-mcp dá ao seu agente de IA a capacidade de raciocinar sobre vulnerabilidades.

	Ferramentas Tradicionais	cve-mcp
Interface	Web UI / CLI / chamadas API brutas	MCP — agente de IA chama ferramentas conversacionalmente
Fontes de dados	Um banco de dados por vez	11 fontes em paralelo: NVD, EPSS, KEV, GHSA, OSV, Shodan, VulnCheck, Vulners, Nuclei, Metasploit, CIRCL
Pontuação de risco	Apenas CVSS (severidade, não explorabilidade)	CVSS × EPSS × KEV × multiplicador de exploit (Nuclei/MSF) = risco real
Correlação	Copiar e colar manual	Agente enriquece: "CVSS 9.8, EPSS 97%, KEV, template Nuclei existe, módulo MSF disponível, mapeia para T1190"
Triagem em massa	Uma CVE por vez	Agente prioriza 50 CVEs em uma única conversa
Impacto em pacotes	Consulta separada OSV/GHSA	Agente encontra pacotes + versões afetadas automaticamente
Dependências	Ferramentas CLI pesadas, ambientes Python	2 dependências de runtime, executa com npx

--- ## Início Rápido ### Opção 1: npx (sem instalação) ```bash npx cve-mcp ``` ### Opção 2: Clonar ```bash git clone https://github.com/badchars/cve-mcp.git cd cve-mcp bun install ``` ### Variáveis de ambiente (opcional) ```bash # Aumenta o limite de taxa do NVD de 5 para 50 requisições por 30 segundos export NVD_API_KEY=sua-chave-api-nvd # Habilita pesquisa no GitHub Advisory (60 → 5000 requisições/hora) export GITHUB_TOKEN=ghp_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx # VulnCheck KEV estendido, pesquisa CPE, PURL export VULNCHECK_API_KEY=sua-chave-vulncheck # Vulners pesquisa de vulnerabilidades em 200+ fontes export VULNERS_API_KEY=sua-chave-vulners # AttackerKB avaliações da comunidade export ATTACKERKB_API_KEY=sua-chave-attackerkb ``` Todas são opcionais. O servidor funciona sem elas — algumas ferramentas apenas têm limites de taxa mais baixos ou dados reduzidos. ### Conecte ao seu agente de IA

Claude Code

```bash # Com npx claude mcp add cve-mcp -- npx cve-mcp # Com clone local claude mcp add cve-mcp -- bun run /caminho/para/cve-mcp/src/index.ts ```

Claude Desktop

Adicione em `~/Library/Application Support/Claude/claude_desktop_config.json`: ```json { "mcpServers": { "cve-mcp": { "command": "npx", "args": ["cve-mcp"], "env": { "NVD_API_KEY": "chave-opcional", "GITHUB_TOKEN": "token-opcional", "VULNCHECK_API_KEY": "chave-opcional", "VULNERS_API_KEY": "chave-opcional", "ATTACKERKB_API_KEY": "chave-opcional" } } } } ```

Cursor / Windsurf / outros clientes MCP

Mesmo formato de configuração JSON. Aponte o comando para `npx cve-mcp` ou o caminho da sua instalação.

### Comece a consultar ``` Você: "O que você sabe sobre CVE-2024-3400?" ``` É isso. O agente cuida do resto. --- ## O que a IA Pode Fazer ### Resposta a Incidentes ``` Você: "Fomos atingidos pelo CVE-2024-3400. Me dê tudo." Agente: → cve_enrich {cveId: "CVE-2024-3400"} → NVD: PAN-OS command injection, CVSS 10.0 → EPSS: 97.2% probabilidade de exploração → KEV: Adicionado 2024-04-12, prazo 2024-05-01 → Shodan: 4 CPEs, exposto na internet → Nuclei: Template de detecção existe (critical) → Metasploit: Módulo de exploit disponível (excellent rank) → "Crítico. Armado — módulos Nuclei e MSF existem. PAN-OS GlobalProtect, versões < 10.2.9-h1. Corrija imediatamente. Prazo CISA: 1 de maio." ``` ### Priorização de Vulnerabilidades ``` Você: "Priorize estas CVEs do nosso scan: CVE-2021-44228, CVE-2024-3400, CVE-2023-44487, CVE-2024-21762, CVE-2023-4966" Agente: → cve_prioritize {cves: [...]} → Classifica por CVSS × EPSS × multiplicador KEV → "#1: CVE-2024-3400 (risco: 19.44, CVSS 10.0, EPSS 97%, KEV) #2: CVE-2021-44228 (risco: 19.40, CVSS 10.0, EPSS 97%, KEV) #3: CVE-2023-4966 (risco: 19.10, CVSS 9.4, EPSS 97%, KEV) Todas as 5 estão no CISA KEV — corrija todas imediatamente." ``` ### Auditoria de Dependências ``` Você: "Verifique se lodash 4.17.20 e django 3.2.0 têm vulnerabilidades conhecidas" Agente: → osv_batch {queries: [ {package: "lodash", version: "4.17.20", ecosystem: "npm"}, {package: "django", version: "3.2.0", ecosystem: "PyPI"} ]} → "lodash 4.17.20: 3 vulnerabilidades (prototype pollution) django 3.2.0: 12 vulnerabilidades (SQL injection, XSS) Atualize lodash para 4.17.21+, django para 4.2+" ``` ### Monitoramento de Ameaças ``` Você: "Quais CVEs têm maior probabilidade de serem exploradas agora?" Agente: → cve_trending {limit: 10, minEpss: 0.9} → "Top 10 por probabilidade de exploração: 1. CVE-2024-3400 — PAN-OS (EPSS 97.2%, CVSS 10.0, KEV) 2. CVE-2023-44487 — HTTP/2 Rapid Reset (EPSS 96.5%, CVSS 7.5, KEV) ..." ``` ### Análise Profunda de CVSS (v3.1 e v4.0) ``` Você: "Analise este vetor CVSS v4.0: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N" Agente: → cvss_parse {vector: "CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N"} → "CVSS v4.0 — Pontuação: 9.3 (CRÍTICO) Ataque de rede, baixa complexidade, sem requisitos de ataque. Sem privilégios, sem interação do usuário. Sistema vulnerável: impacto total em C/I/A. Sistemas subsequentes: sem impacto." ``` ### Mapeamento ATT&CK ``` Você: "Mapeie CVE-2024-3400 para técnicas MITRE ATT&CK" Agente: → cve_to_attack {cweIds: ["CWE-77"]} → "CWE-77 (Command Injection) mapeia para: T1059 — Command and Scripting Interpreter (Execution) T1190 — Exploit Public-Facing Application (Initial Access)" ``` --- ## Referência de Ferramentas (41 ferramentas)

NVD (4)

| Ferramenta | Descrição | |------------|-----------| | `nvd_search` | Pesquisar CVEs por palavra-chave, severidade, CWE, intervalo de datas | | `nvd_get` | Obter detalhes completos da CVE (CVSS, CWE, CPE, referências) | | `nvd_recent` | CVEs publicadas/modificadas recentemente | | `cve_by_product` | Pesquisar CVEs por nome de produto (correspondência de palavras-chave CPE) |

EPSS (2)

| Ferramenta | Descrição | |------------|-----------| | `epss_score` | Probabilidade de exploração EPSS para uma ou mais CVEs | | `epss_top` | Top CVEs por probabilidade de exploração |

KEV (3)

| Ferramenta | Descrição | |------------|-----------| | `kev_check` | Verificar se CVE(s) estão no catálogo CISA Known Exploited Vulnerabilities | | `kev_search` | Pesquisar KEV por fornecedor, produto ou palavra-chave | | `kev_recent` | Entradas KEV adicionadas recentemente |

GHSA (2)

| Ferramenta | Descrição | |------------|-----------| | `ghsa_search` | Pesquisar advisories de segurança do GitHub por palavra-chave, ecossistema, severidade | | `ghsa_get` | Obter detalhes do advisory por GHSA ID ou CVE ID |

OSV (3)

| Ferramenta | Descrição | |------------|-----------| | `osv_query` | Consultar vulnerabilidades para uma versão específica de pacote | | `osv_get` | Obter detalhes da vulnerabilidade por OSV/GHSA/CVE ID | | `osv_batch` | Consulta em lote de múltiplos pacotes de uma vez |

Exploit (1)

| Ferramenta | Descrição | |------------|-----------| | `exploit_search` | Pesquisar exploits PoC públicos (repositórios GitHub) |

Shodan (3)

| Ferramenta | Descrição | |------------|-----------| | `shodan_cve` | Consulta de CVE via Shodan CVEDB (EPSS, KEV, CPE integrados, sem autenticação) | | `shodan_product` | Encontrar CVEs por nome de produto/fornecedor via Shodan | | `shodan_ip_vulns` | Obter vulnerabilidades conhecidas para um endereço IP (InternetDB) |

VulnCheck (3)

| Ferramenta | Descrição | |------------|-----------| | `vulncheck_kev` | Catálogo KEV estendido (~80% mais entradas que CISA) | | `vulncheck_cpe` | Pesquisa de CVE por string CPE | | `vulncheck_purl` | Pesquisa de CVE por Package URL (purl) |

Vulners (2)

| Ferramenta | Descrição | |------------|-----------| | `vulners_lookup` | Detalhes de CVE do Vulners (200+ fontes, referências de exploits) | | `vulners_search` | Pesquisa de texto completo de vulnerabilidades no banco Vulners |

Nuclei & Metasploit (2)

| Ferramenta | Descrição | |------------|-----------| | `nuclei_check` | Verificar se existe um template de detecção Nuclei para uma CVE | | `msf_check` | Verificar se existe um módulo de exploit Metasploit para uma CVE |

CPE (2)

| Ferramenta | Descrição | |------------|-----------| | `cpe_search` | Pesquisar dicionário NVD CPE por palavra-chave | | `cpe_match` | Obter correspondências CPE para uma CVE específica |

CIRCL (1)

| Ferramenta | Descrição | |------------|-----------| | `circl_cve` | Enriquecimento CVE do CIRCL (mapeamento CAPEC, referências alternativas, vetores de impacto) |

AttackerKB (1)

| Ferramenta | Descrição | |------------|-----------| | `attackerkb_assess` | Avaliações da comunidade do AttackerKB (valor para o atacante, explorabilidade) |

ATT&CK (1)

| Ferramenta | Descrição | |------------|-----------| | `cve_to_attack` | Mapear CWE IDs de CVE para técnicas e táticas MITRE ATT&CK |

CWE (4)

| Ferramenta | Descrição | |------------|-----------| | `cwe_lookup` | Consultar fraqueza CWE por ID ou pesquisar por palavra-chave (BD estática) | | `cwe_get` | Detalhes completos de CWE da API MITRE (1000+ CWEs, mitigações, exemplos) | | `cwe_hierarchy` | Hierarquia pai/filho de CWE da API MITRE | | `cwe_top25` | MITRE CWE Top 25 Most Dangerous Software Weaknesses |

CVSS (1)

| Ferramenta | Descrição | |------------|-----------| | `cvss_parse` | Analisar e explicar string de vetor CVSS v3.1 ou v4.0 com cálculo de pontuação |

Meta (6)

| Ferramenta | Descrição | |------------|-----------| | `cve_enrich` | Enriquecimento completo: NVD + EPSS + KEV + GHSA + OSV + Shodan + Nuclei + MSF em paralelo | | `cve_prioritize` | Classificar CVEs por risco (CVSS × EPSS × KEV × multiplicador de exploit) | | `cve_trending` | CVEs em tendência atualmente por probabilidade de exploração | | `cve_compare` | Comparação lado a lado de duas CVEs | | `cve_list_sources` | Listar todas as 11 fontes de dados e sua disponibilidade | | `cve_report` | Gerar relatório de vulnerabilidades em markdown |

--- ## Fontes de Dados | Fonte | Autenticação | O que fornece | |-------|--------------|---------------| | [NVD](https://nvd.nist.gov/) | Opcional `NVD_API_KEY` | Detalhes de CVE, pontuações CVSS, mapeamentos CWE, produtos CPE afetados, referências | | [EPSS](https://www.first.org/epss/) | Nenhuma | Pontuação de probabilidade de exploração (0-1) e classificação percentil | | [CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) | Nenhuma | Vulnerabilidades exploradas conhecidas com prazos de remediação | | [GitHub Advisory](https://github.com/advisories) | Opcional `GITHUB_TOKEN` | Advisories de segurança de código aberto, pacotes afetados, severidade | | [OSV](https://osv.dev/) | Nenhuma | Dados de vulnerabilidade em nível de pacote em 16+ ecossistemas | | [Shodan CVEDB](https://cvedb.shodan.io/) | Nenhuma | Consulta CVE com EPSS/KEV/CPE integrados, scan de vulnerabilidades IP | | [VulnCheck](https://vulncheck.com/) | Opcional `VULNCHECK_API_KEY` | KEV estendido (~80% mais entradas), pesquisa por CPE/PURL | | [Vulners](https://vulners.com/) | Opcional `VULNERS_API_KEY` | Pesquisa de vulnerabilidades em 200+ fontes, referências de exploits | | [Nuclei Templates](https://github.com/projectdiscovery/nuclei-templates) | Nenhuma | Verificação de existência de template de detecção CVE (severidade, tags) | | [Metasploit](https://github.com/rapid7/metasploit-framework) | Nenhuma | Verificação de existência de módulo de exploit (tipo, rank, caminho) | | [CIRCL](https://cve.circl.lu/) | Nenhuma | Enriquecimento CVE com mapeamento CAPEC, referências alternativas, vetores de impacto | | [AttackerKB](https://attackerkb.com/) | Opcional `ATTACKERKB_API_KEY` | Avaliações da comunidade (valor para o atacante, classificações de explorabilidade) | | [MITRE ATT&CK](https://attack.mitre.org/) | Nenhuma | Mapeamento CWE para técnicas ATT&CK (táticas, técnicas) | | [MITRE CWE](https://cwe-api.mitre.org/) | Nenhuma | Banco de dados CWE completo (1000+ fraquezas, hierarquia, mitigações) | ### Fórmula de Pontuação de Risco ``` Pontuação de Risco = CVSS Base Score × EPSS Score × Multiplicador KEV × Multiplicador de Exploit Onde: CVSS Base Score = 0-10 (severidade do NVD) EPSS Score = 0-1 (probabilidade de exploração do FIRST) Multiplicador KEV = 2 se no CISA KEV, 1 caso contrário Multiplicador de Exploit = 1.5 se template Nuclei OU módulo Metasploit existe, 1 caso contrário ``` Isso fornece uma pontuação de risco prática que equilibra severidade (CVSS) com probabilidade de exploração no mundo real (EPSS), exploração ativa conhecida (KEV) e sinais de armamento (ferramentas públicas de exploit). --- ## Arquitetura ``` src/ ├── index.ts Ponto de entrada + MCP stdio ├── types/ │ └── index.ts ToolDef, ToolContext, ToolResult, tipos de API ├── protocol/ │ ├── tools.ts 41 definições de ferramentas (esquemas Zod) │ └── mcp-server.ts Servidor MCP + transporte stdio ├── nvd/ │ ├── index.ts NVD API v2 — pesquisa, obter, recentes │ └── cpe.ts Pesquisa de produto/CPE ├── epss/ │ └── index.ts EPSS — pontuação, top ├── kev/ │ └── index.ts KEV — verificar, pesquisar, recentes (cache) ├── ghsa/ │ └── index.ts GitHub Advisory — pesquisar, obter ├── osv/ │ └── index.ts OSV — consultar, obter, lote ├── exploit/ │ └── index.ts Pesquisa de PoC via repositórios GitHub ├── shodan/ │ └── index.ts Shodan CVEDB + InternetDB (sem autenticação) ├── vulncheck/ │ └── index.ts VulnCheck KEV, CPE, PURL ├── vulners/ │ └── index.ts Vulners pesquisa + consulta ├── nuclei/ │ └── index.ts Verificação de existência de template Nuclei ├── metasploit/ │ └── index.ts Verificação de módulo MSF (metadados em cache) ├── cpe/ │ └── index.ts NVD CPE dictionary API ├── circl/ │ └── index.ts CIRCL enriquecimento CVE ├── attackerkb/ │ └── index.ts Avaliações AttackerKB ├── attack/ │ └── index.ts CWE → MITRE ATT&CK mapeamento ├── cwe/ │ └── index.ts CWE API (MITRE) + fallback estático ├── cvss/ │ └── index.ts CVSS v3.1 + v4.0 parser + calculadora ├── meta/ │ ├── enrich.ts Enriquecimento completo de CVE (8 fontes em paralelo) │ ├── prioritize.ts Classificação de CVE baseada em risco │ ├── trending.ts CVEs em tendência por EPSS │ ├── compare.ts Comparação lado a lado de CVE │ └── sources.ts Verificação de saúde de 11 fontes └── utils/ ├── rate-limiter.ts Limitador de taxa baseado em fila └── cache.ts Cache TTL ``` **Decisões de design:** - **Inteligência, não auditoria** — Diferente de [cloud-audit-mcp](https://github.com/badchars/cloud-audit-mcp) e [github-security-mcp](https://github.com/badchars/github-security-mcp), esta é uma ferramenta de dados. Sem CheckResult, sem acumulação de achados. Cada consulta é independente e sem estado. - **Enriquecimento paralelo** — `cve_enrich` chama 8 fontes via `Promise.allSettled`. Se uma fonte estiver fora, as demais ainda retornam dados. - **Detecção de armamento** — Verifica existência de template Nuclei e módulo Metasploit para sinalizar CVEs com ferramentas públicas de exploit. - **Limitador de taxa compartilhado** — Todos os módulos NVD compartilham uma única instância de `RateLimiter` (6s entre requisições) para evitar erros 429. - **Cache KEV + MSF** — Catálogo KEV (~1200 entradas) e metadados de módulos MSF (~15MB) carregados uma vez, cacheados com TTL de 1 hora. - **CWE modo duplo** — MITRE CWE REST API para detalhes completos (1000+ CWEs), com fallback estático (40+ entradas) quando API está indisponível. - **CVSS v3.1 + v4.0** — Auto-detecção de versão pelo prefixo do vetor. V4.0 usa abordagem de pontuação MacroVector. - **Mapeamento ATT&CK** — Tabela estática CWE-para-técnica (33 entradas CWE → técnicas ATT&CK). Sem chamadas API. - **2 dependências** — `@modelcontextprotocol/sdk` e `zod`. Nada mais. --- ## Limitações - NVD API sem `NVD_API_KEY` é limitado a 5 requisições por 30 segundos. Configure a chave para uso em produção - Pesquisa no GitHub Advisory sem `GITHUB_TOKEN` é limitada a 60 requisições por hora - VulnCheck, Vulners e AttackerKB requerem chaves de API para funcionalidade completa - Pesquisa de exploits usa pesquisa de repositórios GitHub que tem seus próprios limites de taxa - Metadados de módulos MSF (~15MB) são carregados na primeira utilização — primeira chamada `msf_check` é mais lenta - Pontuação CVSS v4.0 usa aproximação MacroVector (especificação exata é muito complexa) - Mapeamento ATT&CK cobre 33 entradas CWE — CWEs incomuns podem não mapear - macOS / Linux (Windows não testado) --- ## Parte do MCP Security Suite | Projeto | Domínio | Ferramentas | |---------|---------|-------------| | [hackbrowser-mcp](https://github.com/badchars/hackbrowser-mcp) | Testes de segurança baseados em navegador | 39 ferramentas, Firefox, testes de injeção | | [cloud-audit-mcp](https://github.com/badchars/cloud-audit-mcp) | Segurança na nuvem (AWS/Azure/GCP) | 38 ferramentas, 60+ verificações | | [github-security-mcp](https://github.com/badchars/github-security-mcp) | Postura de segurança do GitHub | 39 ferramentas, 45 verificações | | **cve-mcp** | Inteligência de vulnerabilidades | 41 ferramentas, 11 fontes | ---

Apenas para testes e avaliações de segurança autorizados.
Sempre certifique-se de ter autorização adequada antes de testar sistemas.

Licença MIT • Construído com Bun + TypeScript