Conformité
CVE
Aussi appeléCommon Vulnerabilities and ExposuresIdentifiant CVE
En résumé
Un identifiant public et unique, de la forme CVE-2024-12345, attribué à une vulnérabilité connue dans un produit logiciel ou matériel. Il permet à tous les acteurs (éditeurs, chercheurs, outils, équipes de sécurité) de désigner sans ambiguïté le même défaut. Il ne le décrit ni ne le note.
CVE, en détail
CVE signifie Common Vulnerabilities and Exposures. Le programme est coordonné par l’organisation MITRE, et les identifiants sont attribués par des autorités de numérotation (CNA), souvent les éditeurs eux-mêmes. Le format associe l’année d’attribution et un numéro de séquence. Une fiche CVE contient au minimum l’identifiant, une description et des références ; la base NVD du NIST américain l’enrichit de scores et de produits concernés.
Le CVE sert de clé commune : un scanner indique que votre système est affecté par un CVE donné, un éditeur publie son correctif en le citant, un bulletin d’alerte le référence. Il facilite ainsi la veille et la correction. Il ne dit en revanche rien de la gravité dans votre contexte : pour cela, on lui associe un score comme le CVSS : définition, et, pour l’exploitation observée, des listes telles que le catalogue KEV : définition de la CISA américaine. Un CVE ne recense que les vulnérabilités déclarées dans des produits distribués. Un défaut propre à votre application développée sur mesure n’en reçoit généralement pas, de même qu’un défaut de configuration ou de logique métier. L’absence de CVE sur un système ne signifie donc pas l’absence de vulnérabilités, seulement l’absence de défaut connu et référencé.
Qu’est-ce que cela change pour vous ?
Un CVE est un langage commun pour suivre et corriger les défauts de composants que vous n’avez pas écrits. Traiter la gestion des correctifs comme un processus mesuré (délai de correction par criticité) repose en pratique sur ce référentiel.
Exemple illustratif (fictif)
Par exemple, l’inventaire des composants d’une application fait ressortir une bibliothèque de journalisation affectée par un CVE critique. L’équipe identifie rapidement les services concernés grâce à l’identifiant, puis suit le correctif de l’éditeur.
La confusion fréquente
Penser qu’une application sans CVE est sans vulnérabilité. Les défauts du code propre à l’organisation, les erreurs de configuration et les failles de logique métier n’ont pas de CVE et passent par d’autres moyens de détection.
Qui peut vous accompagner ?
- Durcissement : la prestationAprès le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.
- Pentest interne : la prestationSimuler ce qui se passe après l’ouverture de la première pièce jointe.
Aller plus loin
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ArticleRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- ComparatifTest d’intrusion interne ou externe : lequel choisir ?Un test d’intrusion externe part d’Internet, un test interne part d’un poste ou d’un compte déjà dans le réseau. Ce que chacun révèle, son prix d’entrée et dans quel ordre les mener.
Termes liés
- ConformitéCVSS : définitionUn système de notation standardisé qui évalue la sévérité intrinsèque d’une vulnérabilité sur une échelle de 0,0 à 10,0, à partir de critères comme le vecteur d’attaque, la complexité, les privilèges requis et l’impact.
- TechniqueZero-day : définitionUne vulnérabilité inconnue de l’éditeur ou du fabricant, ou sans correctif disponible, et que des attaquants peuvent exploiter avant qu’une protection officielle existe.
- TechniqueScan de vulnérabilités : définitionUne analyse automatisée qui compare un système (serveur, application, réseau) à une base de défauts connus : versions vulnérables, configurations par défaut, en-têtes manquants.
- ConformitéDivulgation responsable : définitionLe processus par lequel une personne qui découvre une vulnérabilité la signale en privé à l’organisme concerné, lui laisse un délai raisonnable pour la corriger, puis la rend publique de manière coordonnée.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début