Faille 2.0 : le First dépoussière le classement CVSS

• Imprimer

Lorsqu'un défaut est découvert au coeur d'un programme, l'inventeur du trou soumet généralement sa découverte au Mitre, afin qu'il soit répertorié et reçoive un numéro d'ordre - répondant au doux nom de CVE-, et, parallèlement, en effectue une analyse de dangerosité en respectant les critères CVSS (Common Vulnerability Scoring System). Le CVSS est en quelque sorte le thermomètre de la faille, un élément de quantification de dangerosité, qui repose sur l'existence ou non d'une preuve de faisabilité, sur l'exploitation à distance ou non de la faille, sur les conséquence plus ou moins profondes et permanente de l'exploit... l'équation prend en compte de très nombreux paramètres. Et c'est cette manière de calculer la dangerosité des failles qui vient de faire l'objet d'une nouvelle définition de la part du Forum of Incident Response and Security Teams. Dans la foulée, la National Security Database s'est mise au diapason.