CVSS : comprendre le score de gravité
Auteur : Rédaction Domeny.ForSale Publié le
En bref : CVSS (Common Vulnerability Scoring System) est une norme internationale ouverte qui évalue la gravité technique des vulnérabilités, c’est-à-dire des failles de sécurité dans les logiciels et les systèmes. Son score de 0 à 10 aide à comparer les vulnérabilités, mais ne suffit pas à déterminer le risque pour une entreprise donnée. Pour définir l’ordre des corrections, il faut aussi examiner notamment l’accessibilité du système vulnérable, l’importance des données traitées et les informations sur l’exploitation réelle de la faille.
Que mesure CVSS et quelles sont ses limites ?
CVSS décrit les conditions d’exploitation d’une vulnérabilité et les conséquences possibles d’une attaque réussie. Il tient notamment compte du moyen d’accéder au composant vulnérable, des privilèges requis et de la nécessité d’une intervention de l’utilisateur. Il évalue aussi les effets sur la confidentialité, l’intégrité et la disponibilité, c’est-à-dire, respectivement, la protection des informations contre leur divulgation, leur modification non autorisée et la perte d’accès.
La norme est développée et maintenue par FIRST, une organisation qui regroupe des équipes de réponse aux incidents de sécurité. Cette description normalisée facilite la comparaison des évaluations pour les éditeurs de logiciels, les administrateurs et les analystes. Cela ne signifie toutefois pas que toutes les failles ayant le même score exigent une réponse identique.
La gravité d’une vulnérabilité n’est pas la même chose que le risque. L’évaluation technique décrit les caractéristiques de la faille. Le risque dépend aussi de l’utilisation de la fonction vulnérable par l’entreprise, des personnes qui y ont accès et des conséquences qu’aurait une prise de contrôle du système.
Comment lire l’échelle de 0 à 10 ?
CVSS v3.1 et v4.0 utilisent les plages qualitatives suivantes :
| Score CVSS | Niveau de gravité |
|---|---|
| 0,0 | Nul |
| 0,1–3,9 | Faible |
| 4,0–6,9 | Moyen |
| 7,0–8,9 | Élevé |
| 9,0–10,0 | Critique |
Un score de 9,8 indique une vulnérabilité de gravité critique, et non une probabilité d’attaque de 98 %. Il ne précise pas non plus le temps restant avant une intrusion ni une échéance à laquelle la faille sera nécessairement exploitée.
Il ne faut pas davantage considérer cette échelle comme un simple multiplicateur des pertes : une vulnérabilité notée 8,0 ne cause pas nécessairement deux fois plus de dommages qu’une faille notée 4,0. Ce chiffre résulte des règles de calcul de la norme ; ce n’est pas une estimation financière des conséquences pour l’entreprise.
La version, le vecteur et le type d’évaluation comptent
À côté du score, recherchez le numéro de version de CVSS et le vecteur, c’est-à-dire la représentation textuelle des valeurs de chaque métrique. Par exemple, le préfixe CVSS:3.1/ indique la version de la norme, tandis que le fragment AV:N désigne un vecteur d’attaque réseau. Le vecteur complet permet de comprendre comment le score final a été obtenu.
L’évaluation de base décrit les caractéristiques fondamentales de la vulnérabilité. Il ne faut pas supposer qu’elle tient compte de la configuration de votre infrastructure ou des dernières informations sur les attaques. Les éléments pris en compte dans le score dépendent des groupes de métriques utilisés :
- CVSS v3.1 distingue les métriques de base, temporelles et environnementales. Les métriques temporelles prennent notamment en compte la maturité des méthodes d’exploitation disponibles et la disponibilité d’une solution corrective.
- CVSS v4.0 distingue les métriques de base, de menace, environnementales et supplémentaires. Les métriques de menace portent sur la maturité de l’exploitation de la faille, tandis que les métriques environnementales permettent de tenir compte des conditions propres à une organisation. Les métriques supplémentaires apportent du contexte, mais ne modifient pas le score.
Il ne faut pas comparer les scores issus de différentes versions de la norme sans vérifier les hypothèses retenues. Les écarts entre l’évaluation de l’éditeur et celle d’une base de vulnérabilités peuvent aussi provenir d’une interprétation différente des conditions d’attaque. Dans ce cas, il est utile de comparer les vecteurs et les justifications, et pas seulement les chiffres.
Comment utiliser CVSS pour prioriser les corrections ?
Imaginez deux vulnérabilités. La première a un score de 9,8 et touche un composant dans un environnement de test isolé. La seconde a obtenu 8,1, mais se trouve dans un système accessible au public qui sert les clients, et des avis fiables confirment qu’elle est activement exploitée.
La seconde faille peut nécessiter une réaction plus urgente malgré son score inférieur. Cela ne remet pas CVSS en cause : cela montre simplement que l’évaluation technique est l’un des éléments de la décision. Un environnement isolé ne doit pas non plus être automatiquement considéré comme sûr : il faut vérifier les voies d’accès réelles.
Pour évaluer un signalement précis, suivez cette courte procédure :
- Confirmez la vulnérabilité : vérifiez le produit, la version, la configuration et les conditions décrites dans l’avis de l’éditeur.
- Vérifiez l’évaluation : relevez la version de CVSS, le vecteur et l’indication précisant s’il s’agit d’un score de base ou s’il intègre des métriques supplémentaires.
- Évaluez l’exposition : déterminez si la fonction vulnérable est accessible depuis Internet, depuis le réseau interne ou uniquement en local.
- Examinez le contexte de la menace : recherchez des confirmations d’attaques en cours et des informations sur les méthodes d’exploitation disponibles.
- Choisissez une action : planifiez une mise à jour et, si elle n’est pas immédiatement possible, envisagez les restrictions d’accès ou la désactivation de la fonction vulnérable recommandées par l’éditeur.
Vérifiez l’évaluation actuelle et les recommandations de correction dans l’avis officiel de l’éditeur, et les définitions des métriques dans la documentation de FIRST. Lors du prochain signalement, notez à côté du score CVSS une phrase expliquant le niveau de priorité dans votre environnement, par exemple : « Système public contenant des données clients, attaques confirmées, mise à jour urgente ».
À lire aussi : Qu’est-ce que KSEF ?
À lire aussi
