NVD (National Vulnerability Database)

Définition

La NVD (National Vulnerability Database) est la base de données officielle des vulnérabilités de sécurité du gouvernement américain, maintenue par le NIST (National Institute of Standards and Technology). Elle constitue la référence mondiale pour l'information sur les vulnérabilités, enrichissant les données CVE avec des scores CVSS, des informations CPE, des références de remédiation et des analyses techniques détaillées. Lancée en 2005, la NVD contient aujourd'hui plus de 230 000 entrées CVE et croît de 25 000 à 30 000 nouvelles vulnérabilités par an. Chaque entrée CVE publiée par MITRE est enrichie par le NVD dans un délai variable (quelques jours à plusieurs semaines) avec : le score CVSS v2/v3.1/v4.0, les CPE affectés (versions précises des logiciels et systèmes), des liens vers les bulletins de sécurité des éditeurs, les patches disponibles, et les ressources CVE EPSS. La NVD est accessible via une API REST publique (api.nvd.nist.gov) permettant aux outils de sécurité de récupérer automatiquement les données de vulnérabilités. Cette API est utilisée par pratiquement tous les outils de vulnerability management commerciaux et open-source : Qualys, Tenable, Rapid7, OpenVAS, Trivy, Grype, etc. L'automatisation de la surveillance des nouvelles CVE via l'API NVD est un composant essentiel d'un programme de gestion des vulnérabilités mature. En 2024, le NIST a connu des difficultés à maintenir le rythme d'enrichissement des CVE, créant un backlog significatif de CVE sans scores CVSS ni CPE. Cette crise a mis en évidence la dépendance critique de l'écosystème de cybersécurité à la NVD et a conduit à des initiatives de diversification des sources : CISA Vulnrichment, GitHub Advisory Database, et les bases de données sectorielles. Complémentaire à la NVD, le KEV (Known Exploited Vulnerabilities) catalog de la CISA liste les vulnérabilités activement exploitées en conditions réelles. Ce catalogue est devenu un critère de priorisation essentiel : une vulnérabilité dans le KEV doit être corrigée en urgence même si son score CVSS est modéré, car elle est activement weaponisée par des acteurs malveillants.