Lexique · Sécurité des données
Score CVSS
Note de 0 à 10 attribuée à une vulnérabilité par le standard CVSS (Common Vulnerability Scoring System), maintenu par FIRST, pour exprimer sa gravité technique : de faible (0,1 à 3,9) à critique (9,0 à 10,0). Il décrit la faille, non le risque réel pour une organisation donnée.
Ce que ça change pour une organisation
Le score CVSS sert de langage commun entre éditeurs, équipes de sécurité et autorités : on le retrouve dans les bulletins de sécurité et dans la base NVD du NIST. Le score de base va de 0,0 à 10,0 et se traduit en cinq niveaux qualitatifs : aucun (0,0), faible (0,1 à 3,9), moyen (4,0 à 6,9), élevé (7,0 à 8,9) et critique (9,0 à 10,0). La version 4.0, publiée le 1er novembre 2023, distingue quatre groupes de métriques : base, menace, environnement et supplémentaire.
Le score de base reflète des caractéristiques techniques de la faille, stables dans le temps et d’un environnement à l’autre. La spécification précise que CVSS ne mesure pas le risque global : les exigences réglementaires, le nombre de personnes touchées, les pertes financières ou l’atteinte à la réputation sont hors de son périmètre. Un score élevé ne dit donc ni si la faille est déjà exploitée, ni si elle concerne un système important pour votre organisation. Pour prioriser les correctifs, il est utile de compléter le score de base par les métriques de menace et d’environnement, et par une information sur l’exploitation réelle.
Exemple
La vulnérabilité CVE-2023-34362 de MOVEit Transfer, une injection SQL, est notée 9,8 sur 10 (niveau critique) dans la base NVD, selon CVSS 3.1. Le vecteur associé (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) se lit ainsi : exploitable par le réseau, complexité d’attaque faible, aucun privilège ni interaction de l’utilisateur requis, et impact élevé sur la confidentialité, l’intégrité et la disponibilité.
À ne pas confondre avec
- CVE : identifiant public attribué à une vulnérabilité (par exemple CVE-2023-34362), qui la désigne sans en mesurer la gravité.
- EPSS : score compris entre 0 et 1, publié chaque jour, qui estime la probabilité qu’une vulnérabilité soit exploitée dans les 30 jours suivants ; il complète la gravité technique fournie par CVSS.
- Le risque : combinaison de la gravité, de la probabilité d’exploitation et de l’importance du système concerné pour l’organisation, que CVSS ne mesure pas.
