Le ralentissement d’enrichissement de la Base de Données Nationale de Vulnérabilités (NVD) du NIST, qui persiste depuis le 12 février dernier, a soulevé une vague d’inquiétude sans précédent au sein de la communauté de la cybersécurité.
Cet outil essentiel pour le suivi des vulnérabilités informatiques, connues sous le sigle CVE pour “Common Vulnerabilities and Exposures” a provoqué un ralentissement et entravé la publication d’informations cruciales sur plus de 2500 entrées CVE. Pour rappel, ces informations incluent notamment des données vitales telles que la description détaillée des failles, les produits logiciels concernés, les évaluations d’impact de sécurité via des scores de criticité, et le statut des correctifs disponibles.
L’étendue du problème est mise en évidence par l’intervention de personnalités influentes de la sécurité informatique telles que Josh Bressers et Jerry Gamblin, qui ont constaté les irrégularités et partagé leurs analyses, illustrant clairement l’impact négatif de cette situation.
En raison de ce dysfonctionnement, les spécialistes de la cybersécurité sont forcés de se tourner vers des alternatives moins officielles pour collecter des informations vitales, telles que les communications d’urgence dans l’industrie ou les discussions sur les plateformes de réseaux sociaux, renforçant le sentiment d’urgence d’un système de suivi des vulnérabilités fiable et réactif.
La réaction du National Institute of Standards and Technology (NIST), l’organisme en charge de la NVD, a intensifié les spéculations après avoir évoqué la formation d’un consortium visant à améliorer les outils et procédures associés au programme NVD. Les experts spéculent notamment sur une possible adoption de nouveaux standards d’identification des logiciels vulnérables, comme les URL de paquets (Package URLs ou PURLs), susceptibles d’apporter plus de précision dans le processus d’identification des logiciels concernés par les vulnérabilités.