Common Vulnerabilities and Exposures (CVE)

🛠️ Open Vulnerability Assessment Language (OVAL)

L’Open Vulnerability Assessment Language (OVAL) est un standard international ouvert de sécurité informatique, soutenu notamment par le département américain de la sécurité intérieure (DHS). Il permet d’évaluer automatiquement l’état d’un système sans exploitation directe, grâce à une langue de description et des référentiels partagés. Plus de 7000 définitions OVAL sont disponibles publiquement.

🔁 Processus d’analyse OVAL

Le processus OVAL suit trois étapes :

1. Identification de la configuration système à tester.

2. Évaluation de l’état courant du système.

3. Rapport sur les résultats (vulnérable, non conforme, patché…).

🧩 Types de définitions OVAL

Type	Description
Vulnerability	Vulnérabilités système
Compliance	Conformité aux politiques de sécurité
Inventory	Présence de logiciels spécifiques
Patch	Application de correctifs

Les définitions OVAL sont au format XML et utilisent un identifiant structuré (ex : oval:org.mitre.oval:obj:1116).

🛠️ OVAL est utilisé par Nessus, OpenVAS et des programmes comme SCAP (Security Content Automation Protocol) pour automatiser la conformité.

---

🔎 Common Vulnerabilities and Exposures (CVE)

Le système CVE (Common Vulnerabilities and Exposures) est un référentiel public sponsorisé par le DHS, qui répertorie les vulnérabilités de sécurité à l’aide d’un identifiant unique (ex : CVE-2021-34527).

Chaque CVE contient une description, des références techniques, et un niveau de criticité.

📜 Conditions d’obtention d’un ID CVE

Un problème peut recevoir un ID CVE s’il :

• Est corrigible indépendamment,

• Affecte un seul codebase,

• Est reconnu par le fournisseur du logiciel.

🧭 Étapes de la soumission d’un CVE

1. Identifier le besoin d’un CVE (vérifier que l’exploit répond à la définition d’une vulnérabilité).

2. Contacter le fournisseur du logiciel.

3. Vérifier s’il existe un CNA (CVE Numbering Authority) affilié.

4. Utiliser le formulaire web CVE si nécessaire.

5. Réception d’un accusé de réception.

6. Validation et attribution d’un ID CVE.

7. Divulgation publique (après accord du fournisseur).

8. Annonce officielle (publication publique).

9. Fournir des détails complémentaires pour le site CVE/NVD.

---

🤝 Responsible Disclosure

La divulgation responsable vise à signaler une vulnérabilité en privé au fournisseur avant publication, afin d’éviter l’exploitation criminelle (0-day). Ce processus contribue à une sécurité collective plus robuste.

---

🧪 Exemples

CVE-2020-5902

• Vulnérabilité critique de type RCE dans l’interface BIG-IP TMUI.

• Permet une prise de contrôle complète du système sans authentification.

CVE-2021-34527 (PrintNightmare)

• Vulnérabilité RCE dans le service Windows Print Spooler.

• Permet à un attaquant authentifié de contrôler un domaine entier.

---

🧠 En résumé

Élément	Description
OVAL	Langage XML pour décrire l’état des systèmes et détecter des vulnérabilités
CVE	Identifiant unique pour une vulnérabilité documentée et publiquement reconnue
Disclosure	Processus responsable de signalement pour limiter les risques de 0-day

---