Réponse courte
Les sources publiques apportent des informations complémentaires. Une CVE canonique peut conserver plusieurs observations, avec des métadonnées incomplètes ou différentes.
Disponibilité produit : Sources prises en charge dans le code ; activation et fraîcheur à vérifier dans le corpus consulté.
Informations apportées
| Source | Information utile | Limite à garder visible |
|---|---|---|
| OSV | Paquet, écosystème, plages affectées et correctifs disponibles | Un éditeur n’est pas toujours fourni |
| GitHub Advisory | Avis, paquet, plage vulnérable et première version corrigée | La configuration du produit reste à examiner |
| NVD | Enrichissements CVE et références produit | Couverture ou enrichissement parfois retardés |
| CISA KEV | Indication publique d’exploitation connue | Ce statut ne qualifie pas l’affectation de votre produit |
| FIRST EPSS | Score estimant la probabilité d’exploitation | Ne fournit pas un inventaire produit |
| CVE.org | Informations publiées par les autorités de numérotation | Niveau de détail variable selon l’avis |
| Siemens ProductCERT | Avis de sécurité, produits et versions mentionnés | Collecte bornée et métadonnées parfois partielles |
CVE canonique et observations
Une ligne canonique rapproche les observations publiques d’une même CVE. Chaque observation conserve une provenance. Les compteurs d’observations et d’enregistrements ne doivent donc pas être additionnés comme des vulnérabilités distinctes.
Un identifiant d’avis peut couvrir plusieurs CVE et une CVE peut figurer dans plusieurs avis. Examinez les versions et références de chaque source si leurs informations diffèrent. Les informations privées d’une organisation n’ont pas vocation à enrichir cette projection publique.
Quelle date utiliser
Publication concerne l’avis source. Dernière collecte concerne l’acquisition des données. La Prise de connaissance d’une vulnérabilité activement exploitée relève du dossier de l’organisation et ne se déduit pas automatiquement de ces dates.
Articles liés
Article issu de la base de connaissance CRA Manager.
Cet article a-t-il été utile ?
C'est super !
Merci pour votre commentaire
Désolé ! Nous n'avons pas pu vous être utile
Merci pour votre commentaire
Commentaires envoyés
Nous apprécions vos efforts et nous allons corriger l'article