Glossaire
CVE
Common Vulnerabilities and Exposures
Identifiant public unique attribué à une vulnérabilité de sécurité, au format CVE-ANNÉE-NUMÉRO.
CVE (Common Vulnerabilities and Exposures) est le programme qui donne un nom commun aux vulnérabilités divulguées publiquement. Lancé en 1999 par MITRE, il est financé par le gouvernement américain via la CISA. Chaque enregistrement associe un identifiant, une description et des références : avis de l'éditeur, rapports de chercheurs, correctifs.
Les identifiants sont attribués par des CNA (CVE Numbering Authorities) : éditeurs comme Microsoft ou Cisco, CERT nationaux, plateformes de bug bounty, et MITRE en dernier recours. L'année de l'identifiant est celle de l'attribution ou de la réservation, pas forcément celle de la divulgation ; le numéro compte au moins quatre chiffres.
Le score CVSS, la catégorie de faiblesse (CWE) et la liste des produits touchés sont fournis par le CNA quand il les connaît, puis complétés par la NVD. Un identifiant peut aussi être rejeté (doublon, erreur d'attribution) : il reste alors consultable avec le statut REJECTED.
Sur cveo.tech
Termes liés
- NVDLa base de vulnérabilités du NIST, qui enrichit chaque CVE d'un score CVSS, d'une CWE et des produits touchés.
- CVSSSystème de notation de la gravité d'une vulnérabilité, de 0,0 à 10,0, maintenu par le FIRST.
- CWEListe des types de faiblesses logicielles et matérielles : la catégorie d'erreur derrière une CVE.
- CPESchéma de nommage normalisé des logiciels, systèmes et matériels, utilisé pour dire quels produits une CVE touche.