Qu'est-ce que le CVSS (Common Vulnerability Scoring System) ?
Le CVSS (Common Vulnerability Scoring System) est le standard international qui note la gravité d'une vulnérabilité sur une échelle de 0 à 10. Il combine le vecteur d'attaque, la complexité d'exploitation et l'impact sur la confidentialité, l'intégrité et la disponibilité, pour objectiver le risque et prioriser les corrections.
Comment fonctionne le score CVSS ?
Le CVSS combine plusieurs métriques : le vecteur d'attaque (réseau, adjacent, local, physique), la complexité, les privilèges nécessaires, l'interaction utilisateur et l'impact sur la confidentialité, l'intégrité et la disponibilité. La v3.1 ajoute la portée de l'impact (Scope). Le standard est maintenu par FIRST : CVSS v4.0, publié en novembre 2023, distingue les impacts sur le système vulnérable et les systèmes en aval.
Échelle de sévérité CVSS
L'échelle qualitative de FIRST est identique en CVSS v3.1 et v4.0 : un score de 9.0 à 10.0 est critique, de 7.0 à 8.9 élevé, de 4.0 à 6.9 moyen, de 0.1 à 3.9 faible, et 0.0 signifie aucun impact.
| Score CVSS | Sévérité | Ce que cela signifie en pratique |
|---|---|---|
| 9.0 – 10.0 | Critique | Sévérité technique critique : examiner rapidement l'exposition et les mesures de protection. |
| 7.0 – 8.9 | Élevée | Sévérité technique élevée : prioriser la revue selon les actifs et les accès concernés. |
| 4.0 – 6.9 | Moyenne | Sévérité technique moyenne : vérifier les conséquences dans votre contexte métier. |
| 0.1 – 3.9 | Faible | Sévérité technique faible : intégrer la correction au suivi des vulnérabilités. |
| 0.0 | Aucune | Pas d'impact sur la confidentialité, l'intégrité ni la disponibilité. |
Le score mesure une sévérité, pas la probabilité d'exploitation. La priorité de correction dépend aussi de l'exposition du système, des attaques observées, des données concernées et des protections en place. Une sévérité critique ne signifie pas à elle seule que l'exploitation est triviale.
Lire un vecteur CVSS v3.1
Le score n'est que le résultat d'un vecteur. Le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H donne 9.8 (Critique) : c'est le profil typique d'une exécution de code à distance sans authentification.
| Métrique | Valeur | Lecture |
|---|---|---|
| AV (Attack Vector) | N (Network) | Exploitable à distance, via le réseau. |
| AC (Attack Complexity) | L (Low) | Aucune condition particulière à réunir. |
| PR (Privileges Required) | N (None) | Aucun compte nécessaire. |
| UI (User Interaction) | N (None) | Aucune action de la victime. |
| S (Scope) | U (Unchanged) | L'impact reste dans le composant vulnérable. |
| C / I / A | H / H / H | Perte totale de confidentialité, d'intégrité et de disponibilité. |
CVSS dans un rapport de pentest
Chez Laucked, chaque finding du rapport de pentest est classé avec un score CVSS v3.1 accompagné du vecteur complet. Cela permet aux équipes techniques de prioriser les corrections et aux dirigeants de mesurer le risque résiduel de manière objective.
Limites du CVSS
Le CVSS ne tient pas compte du contexte métier. Une faille à score moyen peut avoir un impact critique si elle touche un flux de paiement ou des données de santé. C'est pourquoi le pentest complète le scoring par une analyse d'impact contextuelle.
Exemple concret : IDOR sur une API REST
Une API REST expose GET /api/invoices/:id sans contrôle que l'ID appartient à l'utilisateur authentifié. Un client peut lire les factures des autres tenants.
Vecteur CVSS v3.1 : AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N → score 6.5 (Moyen).
Mais si ces factures contiennent des données de santé ou des coordonnées bancaires, l'analyse d'impact contextuelle du rapport Laucked requalifie le risque en Critique pour la direction, indépendamment du score brut.
CVSS v3.1 vs CVSS v4.0
La version 4.0 du CVSS (novembre 2023) introduit plusieurs améliorations majeures :
- Nouvelles métriques Supplemental : Safety, Automatable, Recovery : utile pour l'IoT/OT et le secteur santé
- Environmental metrics enrichies : meilleure prise en compte du contexte métier
- Threat metrics : elles remplacent les métriques temporelles de la v3.1 et ne conservent que la maturité de l'exploit (Exploit Maturity)
- Nouvelle métrique Attack Requirements : elle isole les conditions de déploiement nécessaires à l'attaque, tandis que l'Attack Complexity est conservée
- Fin du Scope : l'impact est noté séparément sur le système vulnérable et sur les systèmes en aval
En 2026, les rapports Laucked utilisent v3.1 par défaut pour compatibilité client (la plupart des outils SAST/DAST, SIEM et plateformes d'assurance cyber lisent encore v3.1), avec le score v4.0 fourni en complément sur demande.
FAQ CVSS
Un score CVSS Critique (9+) doit-il toujours être corrigé en priorité ?
Oui, sauf si la faille est non-atteignable dans votre contexte (réseau interne isolé, feature flag désactivé). Le pentest confirme l'atteignabilité avant de trancher.
Les assureurs cyber exigent-ils un score CVSS dans le rapport ?
Pas formellement, mais ils exigent une priorisation objective. CVSS est le standard de fait pour toutes les polices récentes (Axa, Hiscox, Beazley, Stoïk).
Peut-on contester un score CVSS attribué par un pentester ?
Oui. Le vecteur CVSS est transparent et reproductible. Si le contexte métier inverse le scoring, c'est documenté dans la section Impact du rapport.
CVSS s'applique-t-il aux failles de logique métier ?
Imparfaitement. Le CVSS est conçu pour des vulnérabilités techniques. Pour une faille de logique (race condition métier, workflow contourné), le score doit être ajusté avec le contexte : ce que Laucked fait systématiquement.