CSAF

Définition

CSAF (Common Security Advisory Framework) est un standard ouvert pour le partage structuré et automatisable d'avis de sécurité (security advisories). Développé sous l'égide de l'OASIS Open (Organization for the Advancement of Structured Information Standards), CSAF définit un format JSON standardisé permettant aux producteurs de logiciels de publier des informations sur les vulnérabilités affectant leurs produits d'une manière lisible par machine, facilitant l'automatisation de la gestion des vulnérabilités chez les consommateurs. CSAF remplace et étend le précédent standard CVRF (Common Vulnerability Reporting Framework) basé sur XML. Le format CSAF JSON offre une sémantique plus riche, une intégration plus naturelle avec les outils modernes, et une meilleure expérience développeur. CSAF est particulièrement important dans le contexte réglementaire européen : le Cyber Resilience Act (CRA) et NIS 2 encouragent la publication de CSAF advisories par les fabricants de matériel et de logiciels vendus en Europe. Un document CSAF contient plusieurs composantes structurées : le document header (titre, dates, sévérité générale), les product_tree (arbre de produits affectés avec versions et relations), les vulnerabilities (liste des CVEs avec CVSS scores, CWEs, statuts d'affectation par produit, et actions de remédiation), et les VEX statements (Vulnerability Exploitability eXchange — déclarations d'exploitabilité pour chaque vulnérabilité/produit). Cette structure machine-readable permet aux outils d'automatisation de traiter les advisories sans extraction manuelle d'informations. CSAF s'intègre avec le processus de divulgation des vulnérabilités : les producteurs publient des CSAF advisories sur leurs sites web (dans un répertoire /.well-known/csaf/ standardisé), les agrégateurs CSAF (CERT/CC, BSI, ANSSI) collectent ces advisories, et les outils de gestion des vulnérabilités (Dependency-Track, OpenVEX) consomment ces advisories pour automatiser la mise à jour des statuts de vulnérabilités dans les systèmes de gestion.