Aller au contenu
TortueTech
RubriquesGlossaire

NVD : National Vulnerability Database

Sécurité

NVD : National Vulnerability Database. « Base nationale des vulnérabilités », par analogie avec le fichier central des rappels constructeurs, où chaque défaut connu reçoit sa fiche, sa note de gravité et la liste des modèles touchés. Tenue par le NIST américain, elle reprend chaque entrée CVE et l'enrichit de métadonnées exploitables par les outils.

Le schéma est un diagramme de séquence entre six acteurs : chercheur ou éditeur, CNA, Programme CVE, NVD, scanners et équipes. Les étapes se suivent dans cet ordre. 1. Le chercheur ou l'éditeur signale la faille à la CNA. 2. La CNA transmet au Programme CVE un identifiant CVE et une description. 3. Le Programme CVE publie l'entrée dans la NVD. 4. La NVD enrichit elle-même l'entrée avec les données CVSS, CWE et CPE. 5. La NVD fournit un flux aux scanners via l'API JSON. 6. Si la version installée fait partie d'un CPE touché, les scanners envoient une alerte aux équipes.

Ce qu'elle ajoute : Le programme CVE fournit un identifiant et une description. La NVD y greffe un score CVSS, une classe de faiblesse CWE et des identifiants CPE qui listent précisément les produits et versions vulnérables.

Qui la consomme : Scanners de vulnérabilités, outils SCA et tableaux de bord de conformité interrogent son API JSON pour croiser l'inventaire logiciel avec les failles connues. Sans CPE correct, aucune correspondance n'est trouvée et l'alerte n'arrive jamais.

Les limites : Après deux ans de retard d'enrichissement, le NIST a renoncé en avril 2026 à traiter toutes les entrées : seules reçoivent désormais un enrichissement complet celles du catalogue CISA KEV, celles touchant les logiciels de l'État fédéral américain et les logiciels critiques au sens de l'Executive Order 14028, soit 15 à 20 % du volume annuel ; les quelque 29 000 entrées antérieures à mars 2026 ont été reclassées « Not Scheduled ». Le reste est catalogué sans CVSS, CPE ni CWE, d'où le recours à la base CISA KEV ou aux avis des éditeurs. Et un CVSS de 9,8, quand il existe, mesure une gravité théorique, pas l'exposition réelle, ce qui n'empêche pas nombre de tableaux de bord de trier toute la production par ce seul chiffre et de réveiller l'astreinte pour une bibliothèque jamais appelée.

Voir aussi :CVECVSSCPECWENIST

Ce qui arrive si on s'en passe

Sans consultation de la NVD, un identifiant CVE reste une simple référence textuelle : aucun outil ne sait automatiquement quelles versions de quel logiciel sont touchées, faute des identifiants CPE qui relient la faille au produit. Un analyseur de dépendances ne peut alors pas signaler qu'une bibliothèque installée figure sur la liste des modèles rappelés ; la pièce défectueuse reste en place sans alerte. La note CVSS manque aussi, si bien que le tri entre correctif urgent et correctif différable se fait à l'aveugle, et la classification CWE, qui indique la famille de défaut, disparaît des rapports. La porte reste ainsi ouverte à des failles déjà publiques, donc déjà documentées pour quiconque cherche à les exploiter.

Explication de la marmotte

Imagine un grand carnet public, tenu par une administration américaine, où l'on note chaque défaut découvert dans des logiciels : ton navigateur, l'appli de ta banque, le système de ta console. Pour chaque défaut, on écrit quels programmes et quelles versions sont touchés, avec une note de gravité sur 10. Les entreprises consultent ce carnet tous les jours, souvent grâce à des programmes qui le lisent tout seuls, pour savoir si leurs ordinateurs ont un trou à boucher et lequel réparer en premier. C'est un peu comme la liste des rappels de voitures : si ton modèle y figure, tu files au garage.

Où ce terme est utilisé

← Tout le glossaire