CVSS (Common Vulnerability Scoring System)

Définition

Le CVSS, pour Common Vulnerability Scoring System, est un standard ouvert permettant de quantifier la sévérité technique d'une vulnérabilité de sécurité sous la forme d'un score numérique compris entre 0 et 10, maintenu par le FIRST (Forum of Incident Response and Security Teams). Le score de base repose sur des métriques d'exploitabilité, comme le vecteur d'attaque, la complexité d'exploitation, les privilèges requis et l'interaction utilisateur nécessaire, combinées à des métriques d'impact sur la confidentialité, l'intégrité et la disponibilité. La version 4.0, publiée en 2023, introduit des métriques supplémentaires liées au contexte d'exploitation réelle et à l'impact sur les systèmes en aval, corrigeant certaines limites de la version 3.1 largement utilisée jusqu'alors. Un score CVSS élevé ne signifie cependant pas systématiquement un risque prioritaire élevé pour une organisation donnée : il doit être complété par des métriques temporelles, reflétant la disponibilité d'un exploit fonctionnel, et environnementales, reflétant le contexte réel de déploiement de l'actif concerné. En défense, la priorisation efficace des correctifs ne doit jamais reposer sur le seul score de base CVSS, mais l'associer à des indicateurs complémentaires comme l'EPSS, qui estime la probabilité d'exploitation réelle, et le catalogue CISA KEV listant les vulnérabilités activement exploitées, afin d'orienter les ressources de remédiation vers le risque effectif le plus critique.