El equipo de desarrolladores del kernel de Linux asigna números de Vulnerabilidades y Exposiciones Comunes (CVE) para identificar y catalogar las vulnerabilidades de seguridad que han sido corregidas en el kernel. Como parte del proceso normal de lanzamiento estable, los cambios del kernel que potencialmente son problemas de seguridad son identificados por los desarrolladores responsables de la asignación de números CVE y se les asignan automáticamente números CVE. Estas asignaciones se publican en la lista de correo linux-cve-announce con frecuencia.
El equipo de asignación de CVE del kernel adopta deliberadamente un enfoque excesivamente cauteloso al determinar qué correcciones de errores merecen recibir un número CVE. Esta cautela proviene de la posición única del kernel dentro de las arquitecturas de los sistemas, donde, según la documentación afirma, 'casi cualquier error podría ser explotable para comprometer la seguridad del kernel.' Sin embargo, el potencial de explotación frecuentemente no es evidente cuando un error se corrige y parchea inicialmente. Debido a esta incertidumbre, el equipo asigna números CVE a cualquier corrección de error que identifique como teniendo implicaciones de seguridad potenciales, independientemente de si se ha demostrado una explotación activa.
Los usuarios de sistemas Linux deben determinar por sí mismos si un CVE específico se aplica a su configuración particular. Según nota explícitamente la documentación del kernel de Linux, 'puesto que el kernel de Linux puede utilizarse de muchas maneras diferentes, con muchas formas distintas de acceder a él por usuarios externos, o ningún acceso en absoluto, la aplicabilidad de cualquier CVE específico corresponde al usuario de Linux determinar.' Además, dada el tamaño sustancial y la complejidad del kernel, 'un solo sistema solo utiliza un pequeño subconjunto del árbol de fuentes,' lo que significa que 'los grandes números de CVE asignados no son relevantes para sus sistemas.'