Catalogue CVE et alertes CVE

Le catalogue de CVE de l'onglet Vulnerabilities fait partie de toutes les offres, y compris l'offre Community gratuite. Les alertes CVE de l'onglet Alerts sont incluses dans Plus et Premium, tout comme les liens entre une CVE et les indicateurs qui s'y rattachent.

Trouver une CVE

Ouvrez le Threat Intelligence Portal et choisissez Vulnerabilities dans le menu.
Dans l'onglet Vulnerabilities, saisissez un identifiant CVE ou des mots de la description dans Search, ou un éditeur ou un produit, par exemple fortinet, dans Vendor / product.
Affinez la liste avec les autres filtres : Severity (CVSS), EPSS at least, Exploited in the wild, Public exploit et les dates Published from et Published to.
Triez les résultats avec Sort, par exemple par Highest CVSS, Highest EPSS ou Newest in KEV.

Sous Show, vous choisissez entre All CVEs et Only CVEs with linked IOCs. La seconde option ne garde que les CVE que Q-Feeds a vues associées à des indicateurs malveillants.

Lire les scores

Chaque CVE porte plusieurs signaux. Ils répondent à des questions différentes, lisez-les donc ensemble.

CVSS est le score de gravité de 0 à 10 attribué par la NVD. Il indique la gravité possible d'une faille si quelqu'un l'exploite, pas la probabilité que cela arrive.
Score EPSS : la probabilité, calculée par le FIRST, qu'une CVE soit exploitée dans les 30 prochains jours. Un score de 0,40 signifie 40 % de probabilité. Le portail indique aussi où se situe ce score par rapport à toutes les autres CVE notées.
CISA KEV est le catalogue Known Exploited Vulnerabilities de la Cybersecurity and Infrastructure Security Agency américaine. Une CVE de cette liste a déjà été exploitée par des attaquants. La fiche indique sa date d'ajout, si des groupes de rançongiciels l'utilisent, l'action requise et l'échéance fixée aux agences fédérales américaines.
SSVC est la décision que la CISA publie pour une partie des CVE, qui précise notamment si une exploitation est en cours.
Public exploit signifie qu'une entrée Exploit-DB, un module Metasploit ou un modèle Nuclei fait référence à la CVE. Le portail n'affiche que des identifiants et des liens, jamais de code d'exploit.
Linked IOCs compte les indicateurs des données Q-Feeds rattachés à la CVE.

Pour savoir quoi corriger en premier, commencez par les CVE du CISA KEV, déjà utilisées par des attaquants. Passez ensuite à celles dont le score EPSS est élevé. Classez le reste par CVSS.

Ouvrir la page d'une CVE

Cliquez sur un identifiant CVE pour ouvrir sa page. Elle comporte une section par source : la fiche NVD avec le score CVSS, la CWE et les produits concernés, la décision SSVC de la CISA, FIRST EPSS, la fiche CISA KEV et les éventuels exploits publics. Avec Plus ou Premium, la page liste aussi les derniers IOC associés observés, et View all les ouvre dans Browse IOCs.

Saisissez un identifiant CVE comme CVE-2024-3400 dans Threat Lookup pour arriver directement sur sa page. Cela ne compte pas comme une recherche.
Dans Browse IOCs, une étiquette KEV, Exploited ou EPSS sur une ligne indique que l'indicateur est rattaché à une CVE. Activez Linked to a known exploited vulnerability (KEV) ou Exploited in the wild (KEV or CISA SSVC) pour n'afficher que ces indicateurs.
La page de détail d'un indicateur comporte une carte Vulnerabilities avec les CVE associées, et l'export PDF reprend le même tableau.

Configurer les alertes CVE

Sur la page Vulnerabilities, ouvrez l'onglet Alerts.
Sous Your software, saisissez un éditeur ou un produit dans Add a product, par exemple fortios ou confluence. Chaque résultat indique son nombre de CVE.
Cochez les produits que vous utilisez, ou Select all, puis cliquez sur Add selected. Ils sont ajoutés en une fois.
Pour suivre tous les produits d'un éditeur, choisissez Watch everything matching en haut des résultats. Cela ajoute une seule entrée qui correspond à tout nom de produit contenant ce mot, y compris les noms ajoutés plus tard.
Sous When to alert, choisissez le score minimum dans New CVEs with a CVSS score of at least : Any score, 4.0 (medium and up), 7.0 (high and up), 9.0 (critical only) ou Custom.
Cochez Also alert on new CVEs that have no CVSS score yet si vous voulez être prévenu avant que la NVD attribue un score.
Laissez Alert when one of these CVEs is added to CISA KEV activé. Vous êtes alors aussi prévenu pour une CVE plus ancienne ou moins bien notée de vos logiciels dès qu'elle est exploitée.
Sous Digest, choisissez Daily ou Weekly, le jour, l'heure et votre fuseau horaire.
Sous Send to, cochez les collègues qui doivent recevoir le récapitulatif, puis cliquez sur Save settings.

La correspondance se fait sur le nom de l'éditeur et du produit, tels que la NVD et la CISA les écrivent, pas sur la version. Comparez votre version installée à l'avis de sécurité avant d'agir. Un même produit peut apparaître sous plusieurs noms, par exemple Fortinet FortiOS et FortiOS : ajoutez les deux ou utilisez un mot-clé. La liste accepte jusqu'à 100 entrées.

Pour retirer un logiciel, cochez-le dans la liste, ou la case de l'en-tête pour tout sélectionner, puis cliquez sur Remove. L'interrupteur Alerts on suspend le récapitulatif et conserve votre liste. Tous les utilisateurs de votre entreprise peuvent modifier la liste et les réglages.

Contenu du récapitulatif

Jusqu'à 50 CVE par e-mail. Les CVE qui viennent d'entrer au CISA KEV figurent en tête, les autres suivent par score CVSS, et une dernière ligne compte celles qui n'ont pas trouvé de place.
Pour chaque CVE : les scores CVSS et EPSS, le logiciel de votre liste concerné, la raison de sa présence (New ou Added to KEV) et la description.
Chaque CVE est envoyée une seule fois. Elle ne revient que si la CISA l'ajoute plus tard au KEV.
Sans nouvelle correspondance, aucun e-mail n'est envoyé.
Le premier récapitulatif après l'ajout d'un logiciel couvre les CVE publiées au cours des 30 derniers jours, pour que vous voyiez tout de suite les problèmes récents.

Sous Preview, cliquez sur Show what would be sent now pour voir le prochain récapitulatif sans l'envoyer. L'aperçu indique aussi combien de CVE ont été écartées par votre seuil CVSS, le réglage des CVE sans score ou un récapitulatif précédent. Enregistrez d'abord vos réglages si vous les avez modifiés.

D'où viennent les données

Les fiches CVE viennent du CVE Program et de la NVD. Les scores EPSS viennent du FIRST, le statut d'exploitation et les décisions SSVC de la CISA, et les références d'exploits publics d'Exploit-DB, de Metasploit et de Nuclei. Les nouvelles CVE arrivent dans le catalogue une fois par jour.

This product uses the NVD API but is not endorsed or certified by the NVD.

La suite

Vous voulez des alertes CVE pour vos propres logiciels ? Découvrez ce qu'elles contiennent et dans quelles offres elles sont incluses.

Découvrir les alertes CVE