La même semaine, des correctifs ont été publiés pour trois vulnérabilités. L'équipe d'exploitation ne peut appliquer qu'un correctif par jour. Quelle association entre le correctif à appliquer en premier et la raison est la plus appropriée ?

Réponse : C. Une vulnérabilité d'un équipement VPN exposé à Internet (score de base CVSS de 8,1, exploitation dans la nature confirmée), parce qu'il est accessible depuis l'extérieur et déjà utilisé dans des attaques

Le score de base CVSS exprime la gravité de la vulnérabilité elle-même et non la probabilité d'attaques dans l'environnement propre de l'organisation. Une vulnérabilité d'un équipement directement accessible depuis Internet, dont l'exploitation dans des attaques réelles est confirmée, a de fortes chances d'être bientôt ciblée ; elle est donc prioritaire même si son score de base de 8,1 est inférieur à 9,8. L'état de l'exploitation peut se vérifier dans le catalogue des vulnérabilités dont l'exploitation est confirmée (KEV : Known Exploited Vulnerabilities), publié par la CISA américaine depuis novembre 2021, et dans les alertes des éditeurs et du JPCERT/CC. La vulnérabilité du serveur à usage interne est elle aussi grave ; elle est donc traitée juste après l'équipement VPN, en réduisant le risque entre-temps par des mesures comme la restriction du trafic.