L'identifiant CVE (Common Vulnerabilities and Exposures) est un syst\u00e8me permettant d'identifier et de cataloguer les vuln\u00e9rabilit\u00e9s connues dans les logiciels et les micrologiciels. Il fournit un identifiant commun pour une vuln\u00e9rabilit\u00e9 donn\u00e9e, ce qui facilite les discussions et le partage de donn\u00e9es entre diff\u00e9rents outils et bases de donn\u00e9es de s\u00e9curit\u00e9.<\/p>\n
Le syst\u00e8me d'identifiant CVE a \u00e9t\u00e9 lanc\u00e9 par MITRE Corporation en 1999. Il a \u00e9t\u00e9 cr\u00e9\u00e9 pour fournir une m\u00e9thode standardis\u00e9e pour nommer les vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9. Avant l\u2019av\u00e8nement de CVE, diff\u00e9rents fournisseurs et chercheurs utilisaient souvent leurs propres noms pour d\u00e9signer la m\u00eame vuln\u00e9rabilit\u00e9, ce qui entra\u00eenait confusion et inefficacit\u00e9. Les premiers identifiants CVE (CVE-1999-0001 \u00e0 CVE-1999-0016) ont \u00e9t\u00e9 publi\u00e9s en janvier 1999, corrigeant une s\u00e9rie de vuln\u00e9rabilit\u00e9s dans UNIX, Windows et d'autres syst\u00e8mes.<\/p>\n
L'identifiant CVE est un identifiant unique et commun pour une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 connue. Il fait partie de la liste CVE, un dictionnaire des vuln\u00e9rabilit\u00e9s et des expositions en mati\u00e8re de cybers\u00e9curit\u00e9 divulgu\u00e9es publiquement, maintenu par la soci\u00e9t\u00e9 MITRE, financ\u00e9e par le d\u00e9partement am\u00e9ricain de la S\u00e9curit\u00e9 int\u00e9rieure. Chaque identifiant CVE comprend l'identifiant CVE, une br\u00e8ve description et au moins une r\u00e9f\u00e9rence publique. Le programme CVE vise \u00e0 faciliter le partage de donn\u00e9es entre des fonctionnalit\u00e9s de vuln\u00e9rabilit\u00e9 distinctes (outils, bases de donn\u00e9es et services).<\/p>\n
Un identifiant CVE comprend trois parties\u00a0: le pr\u00e9fixe CVE, l'ann\u00e9e o\u00f9 le CVE a \u00e9t\u00e9 attribu\u00e9 ou la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 rendue publique, et un num\u00e9ro \u00e0 quatre chiffres ou plus unique \u00e0 chaque vuln\u00e9rabilit\u00e9 divulgu\u00e9e cette ann\u00e9e-l\u00e0. Par exemple, dans l'ID CVE \u00ab CVE-2021-34527 \u00bb, \u00ab CVE \u00bb est le pr\u00e9fixe, \u00ab 2021 \u00bb est l'ann\u00e9e et \u00ab 34527 \u00bb est l'identifiant unique.<\/p>\n
Lorsqu'une nouvelle vuln\u00e9rabilit\u00e9 est d\u00e9couverte, elle est signal\u00e9e \u00e0 MITRE, qui lui attribue un identifiant CVE unique et l'ajoute \u00e0 la liste CVE. Cette liste est accessible au public et sert de r\u00e9f\u00e9rence pour la communaut\u00e9 de la cybers\u00e9curit\u00e9.<\/p>\n
L\u2019identifiant CVE offre plusieurs fonctionnalit\u00e9s essentielles :<\/p>\n
Tous les identifiants CVE suivent la m\u00eame convention de d\u00e9nomination, mais ils peuvent \u00eatre class\u00e9s en fonction du type de vuln\u00e9rabilit\u00e9 qu'ils d\u00e9crivent. Par exemple:<\/p>\n
Les identifiants CVE sont utilis\u00e9s de nombreuses mani\u00e8res dans le paysage de la cybers\u00e9curit\u00e9, depuis les scanners de vuln\u00e9rabilit\u00e9s qui identifient les vuln\u00e9rabilit\u00e9s connues des syst\u00e8mes jusqu'aux avis de s\u00e9curit\u00e9 qui utilisent les identifiants CVE pour r\u00e9f\u00e9rencer des vuln\u00e9rabilit\u00e9s sp\u00e9cifiques.<\/p>\n
Il existe cependant des d\u00e9fis. Le syst\u00e8me CVE ne couvre pas toutes les vuln\u00e9rabilit\u00e9s connues, et il peut y avoir un d\u00e9lai entre la d\u00e9couverte d'une vuln\u00e9rabilit\u00e9 et son ajout \u00e0 la liste CVE. Pour att\u00e9nuer ces probl\u00e8mes, il est important de combiner l'analyse CVE avec d'autres m\u00e9thodes de d\u00e9couverte de vuln\u00e9rabilit\u00e9s, telles que les tests d'intrusion et les outils de s\u00e9curit\u00e9 automatis\u00e9s.<\/p>\n
Voici une comparaison entre CVE et d\u2019autres termes similaires\u00a0:<\/p>\n