Glossaire
CVSS
Common Vulnerability Scoring System
Système de notation de la gravité d'une vulnérabilité, de 0,0 à 10,0, maintenu par le FIRST.
Le Common Vulnerability Scoring System, maintenu par le FIRST (Forum of Incident Response and Security Teams), attribue à une vulnérabilité une note de gravité de 0,0 à 10,0. La note de base décrit les caractéristiques intrinsèques de la faille : comment on l'atteint, quelles conditions sont nécessaires, et ce qu'elle compromet en confidentialité, intégrité et disponibilité.
Versions successives : 2.0 (2007), 3.0 (2015), 3.1 (2019) et 4.0 (novembre 2023). En v3 et v4, la note se traduit en niveaux : None (0,0), Low (0,1 à 3,9), Medium (4,0 à 6,9), High (7,0 à 8,9) et Critical (9,0 à 10,0). La v2 n'a pas de niveau Critical : une note v2 de 10,0 est classée High.
Le CVSS mesure la gravité, pas le risque. Une faille notée 9,8 mais jamais exploitée peut être moins urgente qu'une faille à 7,5 exploitée activement ; c'est pourquoi on le croise avec le catalogue CISA KEV et le score EPSS. La note peut aussi différer entre la NVD et l'éditeur (CNA) : les deux sont publiées.
Sur cveo.tech
Termes liés
- Vecteur CVSSLa chaîne de texte qui détaille, métrique par métrique, comment une note CVSS a été obtenue.
- EPSSProbabilité, de 0 à 1, qu'une CVE soit exploitée dans les 30 prochains jours, publiée par le FIRST.
- CISA KEVLe catalogue de la CISA qui recense les vulnérabilités dont l'exploitation active est avérée.
- NVDLa base de vulnérabilités du NIST, qui enrichit chaque CVE d'un score CVSS, d'une CWE et des produits touchés.