Failles
CVE
Common Vulnerabilities and Exposures
- Common Vulnerabilities and Exposures anglais
CVE fournit des identifiants communs aux failles publiées : une même référence permet de relier les alertes, les analyses et les correctifs.
Pour comprendre
Pour tout le monde
En 1999, le programme CVE est lancé pour résoudre un problème très concret : plusieurs outils peuvent décrire la même Faille de sécurité sous des noms différents. Sans référence commune, difficile de savoir si deux alertes parlent du même défaut. Le programme attribue des identifiants et publie les fiches correspondantes dans un catalogue accessible gratuitement.
Un identifiant suit la forme CVE, une année, puis une suite de chiffres, séparés par des traits d’union. Il désigne une vulnérabilité particulière, pas une famille d’erreurs : ce second rôle revient à CWE. L’année ne donne pas forcément la date de découverte. Une fiche publiée décrit le problème et renvoie vers des informations techniques ; elle peut être corrigée ou complétée.
Le financement du programme est assuré par l’agence publique CISA. Son exploitation repose sur un organisme de recherche sans but lucratif, avec un conseil qui participe à sa gouvernance. L’attribution des identifiants est répartie entre des organismes habilités, les CNA, pour CVE Numbering Authorities. Des équipes de recherche, des responsables de logiciels et d’autres acteurs peuvent remplir ce rôle dans un périmètre défini. Financer, coordonner et décrire les failles sont donc des fonctions distinctes.
Une référence CVE ne donne, à elle seule, ni la gravité, ni la preuve d’une attaque en cours, ni la certitude qu’un correctif existe. On la rapproche du score CVSS, de l’estimation EPSS et des recommandations du responsable du produit. Le catalogue ne recense pas toutes les failles existantes. Pour savoir si une Mise à jour vous concerne, les versions touchées comptent davantage que la présence d’un numéro impressionnant.
Un exemple
Deux alertes décrivent différemment un défaut du logiciel utilisé pour gérer des inscriptions. Elles portent la même référence CVE : l’équipe sait qu’il s’agit du même problème. Elle consulte l’avis du responsable du logiciel, compare la version installée aux versions touchées et applique la correction recommandée.
Les bons réflexes
Recherchez la référence complète dans l’avis officiel du produit concerné et vérifiez les versions ainsi que les conditions d’exposition.
Ne prenez pas l’absence de référence CVE pour une preuve qu’un logiciel ne présente aucun défaut.
Si vous gérez des équipements, utilisez la référence pour suivre le problème jusqu’à la correction, sans vous arrêter au seul numéro.
À ne pas confondre avec
Termes voisins
- Faille de sécuritéUne faille de sécurité (en anglais, security vulnerability) est un défaut de conception, de programmation ou de réglage qui peut permettre de contourner une protection ou de perturber un appareil.
- CWECWE classe les types de faiblesses qui peuvent créer des failles, pour aider à comprendre leurs causes et à éviter de les reproduire.
- CVSSSystème standard pour évaluer la gravité des vulnérabilités. Il attribue une note de 0 à 10 en fonction de critères comme l’impact ou l’exploitabilité.
- EPSSEPSS estime la probabilité qu’une faille publiée soit exploitée dans les trente jours, pour aider à décider quelles corrections traiter en priorité.
- CISAL’agence américaine chargée de la cybersécurité et de la protection des infrastructures critiques. Elle gère notamment le catalogue KEV des failles déjà exploitées.
Cité dans
1 sujet