Niveaux de gravité des problèmes de sécurité

Sources de vulnérabilité

• Tickets de scanners de sécurité tels que ceux déposés par Nexpose, Cloud Conformity ou Snyk
• Résultats du programme Bug Bounty découverts par des chercheurs en sécurité grâce à Bugcrowd
• Failles de sécurité signalées par l'équipe de sécurité dans le cadre de revues
• Failles de sécurité signalées par les équipes Atlassian

Framework et évaluation de gravité

Atlassian utilise le système CVSS (Common Vulnerability Scoring System) pour évaluer les risques de sécurité et prioriser chaque vulnérabilité découverte. CVSS est une métrique de vulnérabilité standard du secteur. Pour en savoir plus sur CVSS, consultez le site FIRST.org.

Niveaux de gravité

Les avertissements de sécurité Atlassian incluent un niveau de gravité. Ce niveau est basé sur notre score CVSS auto-calculé pour chaque vulnérabilité spécifique.

• Critique
• Élevée
• Modérée
• Faible

Pour CVSS v3, Atlassian utilise le système de notation de gravité suivant :

Niveau de gravité : critique

Les vulnérabilités affichant un score « critique » présentent généralement la plupart des caractéristiques suivantes :

• L'exploitation de la vulnérabilité entraîne probablement une compromission au niveau racine des serveurs ou des périphériques d'infrastructure.
• L'exploitation est généralement simple, dans le sens où l'attaquant n'a pas besoin d'informations d'authentification ou de connaissances spécifiques sur les victimes, et ne doit pas persuader un utilisateur cible (par exemple, via l'ingénierie sociale) de remplir des fonctions spéciales.

Pour les vulnérabilités critiques, il est conseillé de procéder à la correction ou à la mise à niveau dès que possible, sauf si vous avez mis en place d'autres mesures d'atténuation (par exemple, rendre votre installation inaccessible depuis Internet).

Niveau de gravité : élevé

Les vulnérabilités affichant un score « élevé » présentent généralement certaines des caractéristiques suivantes :

• La vulnérabilité est difficile à exploiter.
• L'exploitation pourrait entraîner une élévation des privilèges.
• L'exploitation pourrait entraîner une perte de données importante ou un temps d'arrêt.

Niveau de gravité : moyen

Les vulnérabilités affichant un score « moyen » présentent généralement certaines des caractéristiques suivantes :

• Vulnérabilités qui obligent l'attaquant à manipuler certaines victimes en employant des tactiques d'ingénierie sociale.
• Vulnérabilités liées à un déni de service difficiles à mettre en place.
• Exploits qui nécessitent qu'un attaquant réside sur le même réseau local que la victime.
• Vulnérabilités où l'exploitation ne fournit qu'un accès très limité.
• Vulnérabilités qui nécessitent des privilèges utilisateur pour une exploitation réussie.

Niveau de gravité : faible

Les vulnérabilités affichant un score « faible » ont généralement très peu d'impact sur les activités d'une organisation. Leur exploitation nécessite généralement un accès au système local ou physique. Les vulnérabilités du code tiers qui ne sont pas accessibles depuis le code Atlassian peuvent être rétrogradées à un niveau de gravité faible.

Chronologie de la remédiation

Atlassian fixe des objectifs de niveau de service pour la correction des failles de sécurité sur la base du niveau de gravité pour la sécurité et du produit affecté. Nous avons défini des délais pour résoudre les problèmes de sécurité conformément à notre politique de correction des bugs de sécurité.

Les délais de résolution accélérés s'appliquent aux produits suivants :

• Tous les produits Atlassian basés dans le cloud
• Jira Align (versions cloud et auto-gérée)
• Tout autre logiciel ou système géré par Atlassian ou fonctionnant sur l'infrastructure Atlassian

Les délais de résolution étendus s'appliquent aux produits suivants :

• Tous les produits Atlassian auto-gérés
  • Il s'agit des produits installés par les clients sur des systèmes qu'ils gèrent eux-mêmes
  • Entre autres, les apps Server, Data Center, de bureau et mobiles d'Atlassian

Délai de résolution CVSS