Le programme CVE refinancé in extremis : l'Europe a son alternative

Finalement, le gouvernement américain n'abandonne pas le programme CVE (Common Vulnerabilities Exposure).

In extremis, il a renouvelé le contrat de financement avec MITRE. Pour 11 mois, semble-t-il.

Le risque de non-reconduction avait poussé des membres du programme à envisager la création d'une fondation. Il a aussi braqué les projecteurs sur des initiatives alternatives, dont l'EUVD (European Vulnerability Database). La directive NIS2 en a posé les jalons. L'ENISA (Agence européenne pour la cybersécurité) en a la charge.

L'EUVD utilise Vulnerability-Lookup. Ce logiciel open source (licence AGPL v3) est cofinancé par l'UE et le CERT luxembourgeois. Il favorise les corrélations de vulnérabilités à travers de multiples sources. Parmi lesquelles :

• Le catalogue des vulnérabilités exploitées de la CISA
• La base de l'Institut Fraunhofer pour la communication et le traitement de l'information
• La Global Security Database de la Cloud Security Alliance
• Le répertoire de paquets malveillants d'OpenSSF
• L'Advisory Database de GitHub et celle de PySec
• La base iPedia associée au JVN (Japan Vulnerability Notes)
• CWE (Common Weakness Enumeration) et CAPEC (Common Attach Pattern Enumeration and Classification), tous deux de MITRE
• Des flux de diverses organisations (Cisco, Microsoft, Nozomi Networks, Red Hat, Siemens...)

Cinq CSIRT européens sont devenus autorités de numérotation CVE

Pour le moment, l'EUVD est en bêta. Elle propose, par défaut, trois vues filtrées :

• Vulnérabilités critiques (score CVSS supérieur ou égal à 9)
• Vulnérabilités activement exploitées
• Vulnérabilités "coordonnées par les CSIRT"

Cette dernière catégorie regroupe les vulnérabilités auxquelles l'ENISA et les CERT habilités ont attribué un identifiant CVE. Ils sont cinq à le pouvoir :

• L'INCIBE (Instituto Nacional de Ciberseguridad ; Espagne), accrédité par MITRE en janvier 2020
• Le NSCS-NL (Pays-Bas), accrédité en juillet 2022
• Le SK-CERT (Slovaquie), accrédité en octobre 2022
• Le NCSC-FI (Finlande), accrédité en juin 2023
• Le CERT-PL (Pologne), accrédité en août 2023

L'ENISA est aussi une CNA (autorité de numérotation CVE), depuis janvier 2024. Elle affirme, avec l'EUVD, chercher à "éviter les doublons et soutenir la complémentarité" avec l'écosystème CVE.

À consulter en complément :

La CISA dans la viseur de Trump : vers une purge des effectifs
MITRE ATT&CK : les dernières techniques intégrées à la matrice principale
NIS2 : les conseils de l'ENISA pour la gestion du risque cyber

Illustration