Depuis le 12 février, un ralentissement critique de la NVD inquiète la communauté de cybersécurité, entravant la diffusion d’informations sur 2500 vulnérabiltés.
Le ralentissement d’enrichissement de la Base de Données Nationale de Vulnérabilités (NVD) du NIST, qui persiste depuis le 12 février dernier, a soulevé une vague d’inquiétude sans précédent au sein de la communauté de la cybersécurité.
Cet outil essentiel pour le suivi des vulnérabilités informatiques, connues sous le sigle CVE pour « Common Vulnerabilities and Exposures » a provoqué un ralentissement et entravé la publication d’informations cruciales sur plus de 2500 entrées CVE. Pour rappel, ces informations incluent notamment des données vitales telles que la description détaillée des failles, les produits logiciels concernés, les évaluations d’impact de sécurité via des scores de criticité, et le statut des correctifs disponibles.
L’étendue du problème est mise en évidence par l’intervention de personnalités influentes de la sécurité informatique telles que Josh Bressers et Jerry Gamblin, qui ont constaté les irrégularités et partagé leurs analyses, illustrant clairement l’impact négatif de cette situation.
En raison de ce dysfonctionnement, les spécialistes de la cybersécurité sont forcés de se tourner vers des alternatives moins officielles pour collecter des informations vitales, telles que les communications d’urgence dans l’industrie ou les discussions sur les plateformes de réseaux sociaux, renforçant le sentiment d’urgence d’un système de suivi des vulnérabilités fiable et réactif.
La réaction du National Institute of Standards and Technology (NIST), l’organisme en charge de la NVD, a intensifié les spéculations après avoir évoqué la formation d’un consortium visant à améliorer les outils et procédures associés au programme NVD. Les experts spéculent notamment sur une possible adoption de nouveaux standards d’identification des logiciels vulnérables, comme les URL de paquets (Package URLs ou PURLs), susceptibles d’apporter plus de précision dans le processus d’identification des logiciels concernés par les vulnérabilités.
Cependant, le manque de précision dans l’annonce du NIST a semé davantage de confusion dans la communauté de la sécurité, qui attend des directives claires pour une transition fluide vers de nouveaux processus ou outils.
Face à cette situation, la critique s’intensifie à mesure que les professionnels de la sécurité déplorent le manque de transparence et de réactivité de la NVD face à l’évolution rapide des menaces en matière de cybersécurité.
Le NIST transfert à un nouveau consortium industriel
Selon des informations publiées le 28 mars par Infosecurity Magazine, l’institut national américain des normes et de la technologie (NIST) transférera finalement certains aspects de la gestion de ce plus grand référentiel de vulnérabilités logicielles à un consortium industriel. Cette transition est prévue pour début d’avril 2024.
Pour en savoir plus
(Re)découvrez également:
Des idées de lecture cybersécurité
La cybersécurité pour les Nuls
Pour obtenir toutes les informations sur la cybersécurité, apprendre à protéger ses données sensibles sereinement et à éviter le hacking
Sécurité informatique - Ethical Hacking : Apprendre l'attaque pour mieux se défendre
Ce livre a pour objectif d'initier le lecteur aux techniques des attaquants pour lui apprendre comment se défendre.
Cyberattaques: Les dessous d'une menace mondiale
Un documentaire captivant et éclairant sur les affrontements entre attaquants et défenseurs du numérique, face à la plus grande menace de la prochaine décennie.
