Évaluation CVE, CWE et CVSS

Une CVE (Vulnérabilités et expositions courantes) est un identifiant normalisé désignant une vulnérabilité connue du public. Chaque CVE possède un identifiant unique (par exemple, CVE-2021-44228), une description et des références vers des correctifs et des avis de sécurité.

Les identifiants CVE suivent le format CVE-YEAR-NUMBER. La partie numérique ne comporte pas de zéros initiaux et peut contenir au moins quatre chiffres. MITRE attribue les identifiants CVE ; la NVD les enrichit avec des scores de gravité.

Une CWE (Énumération des faiblesses courantes) classe le type de faiblesse à l’origine du problème, et non une occurrence précise. Les CVE sont associées à des CWE : comprendre le type de faiblesse aide à écrire du code sécurisé afin de prévenir des catégories entières de vulnérabilités.

CVSS (Système courant de notation des vulnérabilités) fournit un score numérique (0,0–10,0) qui reflète la gravité. CVSS v3.1 est la norme actuelle et comprend un score de base, un score temporel et un score environnemental.

Les métriques de facilité d’exploitation mesurent la facilité avec laquelle une vulnérabilité peut être attaquée : vecteur d’attaque (réseau/adjacent/local/physique), complexité de l’attaque, privilèges requis et interaction de l’utilisateur.

Les métriques d’impact mesurent les conséquences d’une exploitation réussie : impact sur la confidentialité, l’intégrité et la disponibilité ; chacune est évaluée selon les niveaux Aucun/Faible/Élevé.

Le vecteur CVSS complet encode toutes les métriques dans une chaîne compacte. Des outils comme le calculateur CVSS de la NVD vous permettent de décoder les scores et de les ajuster à votre environnement.

La Base nationale de données sur les vulnérabilités (nvd.nist.gov) est la source de référence. Effectuez vos recherches par identifiant CVE, fournisseur, produit ou CWE. Les bases de données d’exploitation (exploit-db.com) associent les CVE à des codes d’exploitation fonctionnels.

EPSS (Système de notation prédictive de l’exploitation) prédit la probabilité qu’une CVE soit exploitée dans la nature au cours des 30 prochains jours. Un CVSS élevé associé à un EPSS élevé signifie qu’il faut appliquer le correctif immédiatement.

Toutes les CVE critiques ne présentent pas le même danger pour votre environnement. Établissez vos priorités en vous demandant : le logiciel vulnérable est-il en fonctionnement ? Le vecteur d’attaque est-il pertinent ? Existe-t-il un code d’exploitation public ? Quel est l’impact sur l’activité ?

Les chercheurs découvrent des bogues et les signalent, souvent de manière confidentielle, puis les fournisseurs publient des correctifs et les CVE sont publiées. L’intervalle entre la publication d’un correctif et l’exploitation, appelé écart de correction, ne dure souvent que quelques jours : la rapidité de gestion des correctifs est donc essentielle.

Quelle plage de scores CVSS est considérée comme critique ?

Les CVE identifient des vulnérabilités précises ; les CWE classent le type de faiblesse à leur origine ; CVSS évalue leur gravité. Ensemble, ils constituent le langage de la gestion des vulnérabilités. Concentrez-vous sur les CVE ayant des scores CVSS élevés, une probabilité EPSS élevée et une présence confirmée dans votre environnement.