CVE

CVE (Common Vulnerabilities and Exposures) est un système qui attribue des identifiants uniques (CVE-YYYY-NNNN) aux vulnérabilités de sécurité divulguées publiquement, maintenu par le MITRE.

Objectif

Donner aux vulnérabilités des identifiants unifiés afin que les outils de sécurité, les avis et les correctifs puissent référencer précisément la même vulnérabilité.

Mécanisme

Le format du numéro CVE est CVE-année-séquence (ex. CVE-2021-44228 Log4Shell). Les CNA (CVE Numbering Authorities) attribuent les numéros. La NVD (National Vulnerability Database) enregistre les CVE et y attache des scores CVSS et les produits concernés. Le numéro lui-même ne contient aucun détail ; consultez-les dans NVD/MITRE.

Cas d’usage

Suivi et remédiation des vulnérabilités
Références dans les avis de sécurité
Correspondances lors de l'analyse des dépendances
Rapports de conformité

Exemples

entrée

CVE-2021-44228

Output

Log4Shell RCE vulnerability

Log4j remote code execution

Erreurs courantes

Judging severity by the CVE number alone: Check the NVD CVSS score and affected versions

Termes associés

CVSS (Common Vulnerability Scoring System) est un système de notation standardisé de la gravité des vulnérabilités ; il produit des scores de 0 à 10 et est maintenu par FIRST.

OWASP (Open Web Application Security Project) est une organisation à but non lucratif qui publie la liste Top 10 des vulnérabilités Web et des guides de bonnes pratiques ; c'est une autorité en sécurité Web.

Penetration Testing

Le test d'intrusion simule le comportement d'un attaquant pour mener des tests d'attaque autorisés contre un système, découvrant des vulnérabilités exploitables et évaluant le risque réel.

References