Les équipes de sécurité de cURL et Go rejettent le système de notation CVSS défaillant
Les équipes de sécurité de cURL et Go ont publiquement dénoncé le système commun de notation des vulnérabilités (CVSS) comme étant défaillant pour l'évaluation des vulnérabilités, préconisant des approches plus précises et contextuelles. L'approche unique du CVSS conduit souvent à des scores trompeurs, notamment pour des projets comme cURL, avec des milliards d'installations. Daniel Stenberg, le créateur de cURL, a souligné l'échec du CVSS à prendre en compte les contextes spécifiques, ce qui entraîne des scores gonflés ou inexacts. L'équipe de sécurité de Go a fait écho à ces sentiments, optant pour des évaluations de gravité basées sur le contexte. Cela met en évidence la mécontentement croissant envers le CVSS et encourage la recherche de meilleures alternatives. Cependant, cette approche contextuelle est confrontée à des défis, car les mainteneurs luttent pour évaluer avec précision tous les scénarios d'utilisation. Un choc culturel entre les chercheurs en sécurité et les mainteneurs de logiciels open source complique encore le problème, les chercheurs cherchant la reconnaissance et les mainteneurs se concentrant sur l'impact pratique. Le problème de backlog de la NVD exacerbe la situation.
