CVE (Common Vulnerabilities and Exposures)

Description

CVE (Common Vulnerabilities and Exposures) est un dictionnaire public de vulnérabilités de sécurité identifiées, maintenu par MITRE et financé par la CISA. Chaque CVE reçoit un identifiant unique (CVE-ANNÉE-NUMÉRO) et une description standardisée permettant l'interopérabilité entre outils de sécurité.

Processus

Les CVE sont assignés par des CNA (CVE Numbering Authorities) dont font partie les éditeurs, les CERT nationaux et les chercheurs accrédités. Le score CVSS associé quantifie la criticité (0-10).

Points clés

• NVD (National Vulnerability Database) enrichit les CVE avec les scores CVSS et CPE
• CISA KEV (Known Exploited Vulnerabilities) : sous-ensemble de CVE activement exploités
• CVE vs CWE : CVE = instance spécifique, CWE = classe de faiblesse générique