{"partition": "head_middle", "source_domain": "www.zdnet.fr", "digest": "sha1:IRZV4Q6PMS3I2KCRYMTE4FLCHTBRDLLW", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2016-26/000_00006.parquet"}
MITRE fait marche arrière sur son nouveau système de notation des vulnérabilités
Sécurité : Après avoir annoncé la semaine dernière l’arrivée d’un nouveau système de notation des vulnérabilités, l’organisme MITRE a fait face à une levée de boucliers des spécialistes de la sécurité, contrariés de ne pas avoir été consultés sur la question.
Louis Adam
Il ne faut pas confondre vitesse et précipitation. L’organisme MITRE, qui se charge depuis 1999 de répertorier et classifier les vulnérabilités découvertes dans différents programmes informatiques, avait annoncé la semaine dernière un changement de son système de notation. Malheureusement, cette annonce inattendue n’avait pas franchement récolté l’approbation des professionnels de la sécurité : dans plusieurs messages postés sur le site de l’organisme, ceux-ci déplorent le manque de consultation et les potentiels problèmes que peut causer ce changement de système de notation dans les programmes qui l'utilisent.
Marche arrière toute ! MITRE s’est donc vu contraint de faire marche arrière sur son projet et annonçait dès samedi la mise en pause de son nouveau système de notation des vulnérabilités. Le nouveau système de notation qui devait être testé à compter d’aujourd’hui est donc pour l’instant conservé dans les cartons de MITRE, qui annonce vouloir cette fois prendre en compte le retour des professionnels de sécurité et éditeurs de logiciels utilisant le système CVE.Dans son post, le responsable communication de MITRE Joe Sain annonce qu’une réunion sera tenue dès la semaine prochaine afin d’évaluer le nouveau système de notation et discuter des différentes interrogations soulevées par les professionnels et membres du board avant toute annonce. Plutôt qu’une nouvelle date, cette réunion donnera par la suite lieu à un calendrier de déploiement.
MITRE fait depuis plusieurs mois face aux critiques qui lui reprochent sa lenteur d’attribution des numéros d’identifiants de failles. Une fronde qui a notamment donné lieu à l’émergence de nouveaux formats alternatifs de notation des failles. Pour faire face à ces critiques, le nouveau système de notation devait permettre à d’autres autorités partenaires d’émettre des identifiants CVE en réponse rapide, qui seraient par la suite relayés par l’organisme. MITRE prévoyait ainsi la coexistence de deux systèmes de notations, le système classique et le système de réponse rapide, chacun avec une notation différente afin de pouvoir les différencier. Une décentralisation qui viendrait alléger le poids pesant sur l’organisme, chargé d’évaluer chaque faille découverte par les chercheurs alors que celles-ci n’ont jamais été aussi nombreuses. Comme l'organisme l'expliquait sur Threatpost, MITRE a répertorié pas moins de 20.000 vulnérabilités au cours de l'année 2015, soit deux fois plus que l'année précédente. Il semble donc urgent d'agir, le système originel n'ayant pas été prévu pour de telles volumes mais MITRE a voulu aller un peu vite en besogne et se voit donc aujourd’hui contraint de mettre son projet en pause afin de ne pas se brouiller avec la communauté des chercheurs en sécurité. Sujet: Sécurité Suivre via: RSS