Failles
CVSS
Common Vulnerability Scoring System
- Common Vulnerability Scoring System anglais
Système standard pour évaluer la gravité des vulnérabilités. Il attribue une note de 0 à 10 en fonction de critères comme l’impact ou l’exploitabilité.
Pour comprendre
Pour tout le monde
Une note sur 10 attire l’œil, mais elle doit se lire avec son explication. Le score CVSS caractérise la gravité d’une vulnérabilité, souvent repérée par une référence CVE. Il tient notamment compte des conditions nécessaires pour exploiter le défaut et des conséquences possibles.
Cette gravité se distingue de la probabilité d’exploitation estimée par EPSS. Pour décider de l’ordre des corrections, il faut aussi vérifier quels équipements sont concernés et comment ils sont exposés.
Un exemple
Sur un avis de sécurité, un score de 9,8 signale une gravité critique. La personne qui gère le logiciel vérifie les versions touchées et prépare la Mise à jour recommandée.
Les bons réflexes
Lisez l’avis de sécurité associé au score pour vérifier si votre version est concernée.
Pour prioriser les corrections, rapprochez la gravité des attaques observées et de l’exposition de vos équipements.
À ne pas confondre avec
- EPSSEPSS estime la probabilité qu’une faille publiée soit exploitée dans les trente jours, pour aider à décider quelles corrections traiter en priorité.
Termes voisins
- CVECVE fournit des identifiants communs aux failles publiées : une même référence permet de relier les alertes, les analyses et les correctifs.
- EPSSEPSS estime la probabilité qu’une faille publiée soit exploitée dans les trente jours, pour aider à décider quelles corrections traiter en priorité.
- Mise à jourUne mise à jour (en anglais, update) modifie un logiciel pour corriger des défauts, réparer des failles de sécurité ou apporter de nouvelles fonctions.
Cité dans
1 sujet