Avis de vulnérabilité

Définition

L'avis de vulnérabilité est un document technique publié par un éditeur, un chercheur en sécurité ou un CERT pour décrire une faille de sécurité spécifique identifiée dans un produit, un composant logiciel ou un protocole. Il contient typiquement l'identifiant CVE associé, une description de la vulnérabilité (par exemple une injection, un dépassement de tampon ou une élévation de privilèges), le score de sévérité CVSS, les versions affectées, les prérequis d'exploitation (accès local ou distant, authentification requise) et les correctifs ou contournements disponibles. Contrairement au bulletin de sécurité, souvent plus large et pouvant couvrir plusieurs sujets ou une communication de menace active, l'avis de vulnérabilité se concentre sur une faille précise et documentée. Les avis suivent généralement un processus de divulgation coordonnée entre le chercheur ayant découvert la faille et l'éditeur concerné, afin de publier l'information une fois un correctif disponible, limitant la fenêtre d'exploitation par des attaquants. Les équipes de gestion des vulnérabilités s'appuient sur ces avis pour alimenter leurs scanners, prioriser le déploiement des correctifs selon la criticité des actifs exposés et évaluer le risque réel au regard de l'exploitabilité effective. Les bases publiques comme la NVD (National Vulnerability Database) américaine ou les avis du CERT-FR structurent la diffusion normalisée de ces informations essentielles à la veille en cybersécurité.