Faute de financement, le programme CVE de MITRE s'arrête

Mauvaise nouvelle pour le monde de la cybersécurité avec l’annonce de l’arrêt du programme CVE (common vulnerabilities and exposures) de MITRE qui existe depuis 25 ans. La raison ? Le DHS (department of homeland security) n’a pas reconduit le contrat de financement du programme mené par l'association américaine à but non lucratif. Yosry Barsoum, vice-président et directeur du Center for Securing the Homeland de MITRE, a écrit dans un courrier adressé au conseil d'administration de CVE : « le mercredi 16 avril 2025, le financement accordé à MITRE pour développer, exploiter et moderniser le programme CVE et les initiatives connexes, comme le programme CWE (Common Weakness Enumeration), arrivera à son terme ».

La fin du programme CVE est considérée comme une tragédie

La réaction des experts en cybersécurité ne s’est pas faite attendre. Sasha Romanosky, chercheur spécialiste en cybersécurité à la Rand Corporation, a qualifié la fin du programme CVE de « tragique ». Pour lui, « la dénomination et l'affectation des CVE aux logiciels et aux versions sont les fondements de l'écosystème des vulnérabilités logicielles ». Il ajoute : « sans cela, nous ne pouvons pas suivre les vulnérabilités nouvellement découvertes. Nous ne pouvons pas évaluer leur gravité, ni prévoir leur exploitation. Et nous ne serions certainement pas en mesure de prendre les meilleures décisions concernant les correctifs à apporter ».

Ben Edwards, chercheur chez Bitsight, explique de son côté : « ma réaction est empreinte de tristesse et de déception. Il s'agit d'une ressource précieuse qui devrait absolument être financée, et ne pas renouveler le contrat est une erreur. » Il poursuit en espérant que « l’interruption sera brève et que si le contrat n'est pas renouvelé, d'autres parties prenantes de l'écosystème pourront reprendre le travail là où MITRE l'a laissé. Le cadre fédéré et l'ouverture du système rendent cela possible, mais la route sera semée d'embûches si les opérations doivent être confiées à une autre entité ».

Un programme essentiel à la cybersécurité

Si les réactions sont aussi vives, c’est que le programme CVE de MITRE est un pilier fondamental de l'écosystème mondial de la cybersécurité et constitue la norme de facto pour l'identification des vulnérabilités et l'orientation des programmes de gestion des vulnérabilités des défenseurs. Il fournit des données fondamentales aux produits des fournisseurs dans les domaines de la gestion des vulnérabilités, du renseignement sur les cybermenaces, de l'information sur la sécurité, de la gestion des événements et de la protection des endpoints.

La base de connaissance de MITRE est enrichie par celle du NIST (national institute of standards and technology), nommée NVD, et la contribution de la CISA (équivalent de l’Anssi), via son programme « vulnrichment ». Mais, en raison du manque de financement du NVD, le programme CVE du MITRE sert de source principale pour l’identification des failles de sécurité.

Plusieurs conséquences

« Si le financement du MITRE disparaît, il en résultera des effets immédiats en cascade qui auront un impact sur la gestion des vulnérabilités à l'échelle mondiale », écrit sur LinkedIn Brian Martin, historien de le cybersécurité, directeur du projet Security Errata et ancien membre du conseil d'administration du CVE. « Premièrement, le modèle fédéré et les autorités de numérotation CVE (CNA) ne peuvent plus attribuer d'identifiants et envoyer des informations à MITRE pour une publication rapide. Deuxièmement, tout cela constitue le fondement de la base de données nationale sur les vulnérabilités (NVD), qui est déjà en proie à des difficultés, avec un arriéré de plus de 30 000 vulnérabilités et l'annonce récente de plus de 80 000 'différées' (ce qui signifie qu'elles ne seront pas entièrement analysées selon les normes en vigueur) ».

Le responsable ajoute : « troisièmement, chaque entreprise qui gère sa propre base de données de vulnérabilités, qui reste superficielle, devra trouver d'autres sources de renseignement sur la menace. Quatrièmement, les bases de données nationales sur les vulnérabilités, comme celles de la Chine et de la Russie, entre autres, se tariront en grande partie (la Russie plus que la Chine). Par ailleurs, des centaines, voire des milliers, de CERT nationaux/régionaux dans le monde ne disposeront plus de cette source de renseignements gratuits sur les vulnérabilités. Cinquièmement, toutes les entreprises du monde qui s'appuyaient sur CVE/NVD pour obtenir des informations sur les failles vont connaître des difficultés rapides et aiguës dans leur programme de gestion des vulnérabilités. »

Pourquoi le contrat prend-il fin ?

Les raisons qui ont poussé le DHS à mettre fin au contrat après 25 ans de financement de ce programme très apprécié ne sont pas claires. L'administration Trump, principalement par le biais de l'initiative 'Department of Government Efficiency' d'Elon Musk, a réduit les dépenses gouvernementales dans tous les domaines, en particulier celles de l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA), par laquelle le DHS finance le programme MITRE CVE.

Bien que la CISA ait déjà subi des restrictions budgétaires, des médias suggèrent que près de 40 % du personnel de l'agence, soit environ 1 300 employés, doivent encore être licenciés. Toutefois, des sources affirment que, comparées aux enjeux budgétaires ailleurs au sein du gouvernement fédéral, les dépenses liées au fonctionnement du programme CVE sont mineures et « ne feront pas sauter la banque ».

Que se passera-t-il ensuite ?

Des sources proches du programme CVE indiquent qu'à partir du 16 avril à minuit, MITRE n'ajoutera plus d'enregistrements à sa base de données CVE. Toutefois, les enregistrements CVE historiques seront disponibles sur GitHub. La vraie question est de savoir si une alternative privée à ce projet émergera. « Il est difficile de spéculer sur les services qui pourraient être affectés en lisant la note de MITRE », indique Patrick Garrity, chercheur en sécurité à la société de Threat Intelligence Vulncheck. « L'écosystème actuel des vulnérabilités est fragile après l'échec du NIST NVD l'année dernière, et tout impact sur le programme CVE pourrait avoir des conséquences néfastes pour les défenseurs et la communauté de la sécurité. VulnCheck s'engage à aider à combler les lacunes qui pourraient survenir ». Dans un message sur LinkedIn, il précise que l’éditeur « continuera à fournir des affectations CVE à la communauté dans les jours et les semaines à venir. »

De son côté, une porte-parole de la CISA explique à nos confrères de CSO que l’agence « est le principal sponsor du programme CVE (Common Vulnerabilities and Exposure), qui est utilisé par le gouvernement et l'industrie pour divulguer, cataloguer et partager des informations sur les vulnérabilités technologiques susceptibles de mettre en péril les infrastructures critiques du pays. Bien que le contrat de la CISA avec la MITRE Corporation prenne fin après le 16 avril, nous nous efforçons d'en atténuer l'impact et de maintenir les services CVE sur lesquels les parties prenantes du monde entier comptent ».