Lorsque les équipes de sécurité abordent la question des vulnérabilités et de la gestion des correctifs, deux termes reviennent presque systématiquement : CVE et CVSS. Souvent utilisés conjointement, ils jouent chacun un rôle spécifique dans l’évaluation et la gestion des vulnérabilités.
Une CVE identifie une vulnérabilité de cybersécurité publiquement connue, tandis que la CVSS décrit sa gravité. L'une donne un nom générique à la vulnérabilité, tandis que l'autre offre aux équipes une méthode structurée pour comprendre son impact potentiel.
Dans cet article, nous explorerons la différence entre CVE et CVSS, leur rôle respectif et l'importance de les évaluer tous deux pour corriger les vulnérabilités.
Qu'est-ce qu'un CVE ?
Le système CVE (Common Vulnerabilities and Exposures) est un système standardisé d'identification et de catalogage des vulnérabilités de cybersécurité divulguées publiquement. Chaque fiche CVE publiée possède un identifiant unique, permettant aux fournisseurs, aux chercheurs, aux éditeurs d'outils de sécurité et aux équipes SecOps de désigner une même vulnérabilité de manière uniforme.
L'autorité de numérotation CVE (CNA) attribue régulièrement des identifiants CVE et publie les enregistrements CVE correspondants. Un identifiant CVE suit le format CVE-AAAA-NNNN. L'année correspond généralement à la date d'attribution de l'identifiant ou à la date de première divulgation publique de la vulnérabilité, tandis que la dernière partie est une séquence unique d'au moins quatre chiffres.
Pourquoi la CVE est-elle importante ?
Le rôle principal d'une CVE est l'identification standardisée. Un identifiant CVE offre aux fournisseurs, aux chercheurs, aux éditeurs d'outils de sécurité et aux experts en défense une référence commune pour discuter d'une même vulnérabilité sur des systèmes, des plateformes ou des technologies spécifiques.
Exemple de CVE :
CVE-2021-44228 (Log4Shell) : Une vulnérabilité critique dans les versions affectées d’Apache Log4j2. Elle permettait à un attaquant contrôlant les entrées enregistrées de déclencher l’exécution de code à distance dans les configurations vulnérables.
Qu’est-ce que le CVSS ?
Le système CVSS (Common Vulnerability Scoring System) est un cadre de référence pour la classification, l'évaluation et la communication de la gravité technique des vulnérabilités logicielles. Alors que CVE identifie la vulnérabilité, CVSS évalue des caractéristiques telles que les conditions requises pour son exploitation et l'impact potentiel sur la confidentialité, l'intégrité et la disponibilité des données.
CVSS attribue un score numérique de 0.0 à 10.0 qui peut être associé à des évaluations qualitatives allant de « Aucun » à « Critique ». Ce score fournit une indication cohérente de la gravité, mais ne doit pas être considéré comme une mesure exhaustive du risque pour l'entreprise ni comme une priorité absolue en matière de remédiation.
| Score CVSS | gravité associée |
|---|---|
| 0.0 | Aucun |
| 0.1 – 3.9 | Low |
| 4.0 – 6.9 | Moyenne |
| 7.0 – 8.9 | Haute |
| 9.0 – 10.0 | Critical |
Des scores plus élevés indiquent une plus grande gravité technique, mais la priorité de remédiation doit également tenir compte de facteurs tels que l'exposition, l'exploitation active, l'importance de l'actif et les mesures d'atténuation disponibles.
Pourquoi le CVSS est-il important ?
CVSS offre aux équipes de sécurité une méthode standardisée pour comparer la gravité technique et les caractéristiques des vulnérabilités logicielles. Cela s'avère utile pour le tri initial, notamment lorsque les équipes examinent un grand nombre de résultats.
Toutefois, le score CVSS ne doit être qu'un critère parmi d'autres pour établir les priorités. L'exposition des actifs, l'importance pour l'entreprise, l'exploitation active et la disponibilité des mesures correctives peuvent influencer la priorité à accorder à chaque vulnérabilité.
CVE vs CVSS : Principales différences
Bien que CVE et CVSS soient étroitement liés, ils ne sont pas interchangeables. CVE indique aux équipes la vulnérabilité à laquelle elles sont confrontées. CVSS les aide à comprendre la gravité potentielle de cette vulnérabilité. Voici un bref aperçu de leurs différences :
| Facteur | CVE | CVSS |
|---|---|---|
| Interet | Identifie et répertorie les vulnérabilités connues du public | Décrit et communique la gravité de la vulnérabilité |
| Fonction | Attribue à une vulnérabilité un identifiant unique | Attribue à une vulnérabilité un score de gravité numérique |
| Indicateurs clés utilisés | Nom du fournisseur, versions des produits concernées, description et dates de publication | Vecteur d'attaque, complexité, privilèges requis, interaction de l'utilisateur et impact |
| Entretenu par | MITRE Corporation par l'intermédiaire du Centre national de recherche et de développement financé par le gouvernement fédéral en matière de cybersécurité (FFRDC) | Forum des équipes de réponse aux incidents et de sécurité (FIRST) |
| Cas d'utilisation | Suivi, référencement, recherche et cartographie des vulnérabilités dans les outils et les avis de sécurité | Aide au tri des vulnérabilités et à la comparaison des niveaux de gravité |
| Focus | Identification des vulnérabilités | Gravité technique |
| Exemple | CVE-2021-44228 | CVSS 10.0 ou CVSS 9.8 |
Limites des systèmes CVE et CVSS
Les systèmes CVE et CVSS sont utiles, mais aucun ne donne une image complète de la gestion des vulnérabilités.
Un CVE identifie une vulnérabilité, mais il ne vous indique pas si cette vulnérabilité affecte votre environnement, si le système affecté est exposé ou si des attaquants l'exploitent activement.
Il est important de noter que la gravité ne se confond pas avec le risque. Le système CVSS décrit les caractéristiques techniques d'une vulnérabilité. La priorité de correction dépend également de l'impact sur votre organisation, du niveau d'exposition de la ressource, de l'exploitation éventuelle de la vulnérabilité et de l'importance du système affecté.
Par exemple, une vulnérabilité critique sur un système de test isolé peut mériter une attention moins immédiate qu'une vulnérabilité de moindre gravité affectant un actif critique pour l'entreprise et exposé.
CVE répond donc à la question : « De quelle vulnérabilité s’agit-il ? » CVSS répond quant à lui : « Quel est son niveau de gravité technique ? » Une priorisation efficace nécessite de combiner ces signaux avec le contexte de votre environnement.
Pour conclure
Les systèmes CVE et CVSS répondent à des questions différentes. Le CVE fournit aux équipes de sécurité un identifiant commun pour une vulnérabilité, tandis que le CVSS offre une méthode standardisée pour décrire sa gravité technique. Utilisés conjointement, et combinés à l'exposition des actifs, à l'importance pour l'entreprise et au contexte de la menace, ils constituent une base plus robuste pour le tri des vulnérabilités que chaque signal pris individuellement.
Veltar logiciel de gestion des vulnérabilités Ce système utilise les informations CVE et CVSS, ainsi que des paramètres supplémentaires comme les vulnérabilités exploitées connues (KEV) et le système de score de prédiction d'exploit (EPSS), pour évaluer les risques liés aux appareils. Cela permet aux équipes informatiques et de sécurité d'identifier les terminaux vulnérables et de prioriser les actions correctives en fonction de la gravité et du contexte de l'appareil. Les données de vulnérabilité peuvent ainsi être facilement associées aux terminaux nécessitant une intervention, au lieu de considérer chaque CVE comme ayant la même priorité opérationnelle.
