Réponse courte
La base Hoctave présente un corpus public canonique et ses provenances. Une ligne peut réunir plusieurs observations d’une même CVE, sans qualifier automatiquement vos produits.
Disponibilité produit : Disponible dans l’administration plateforme, pour les rôles explicitement autorisés. Ce guide ne promet pas un accès à chaque client.
Objectif et séparation des périmètres
La Base de vulnérabilités Hoctave permet d’examiner les informations publiques connues, leurs sources et leurs enrichissements. Elle est distincte de la liste des vulnérabilités CRA formelles d’une organisation et des points de sécurité à vérifier d’un produit.
Un résultat du corpus ne démontre ni que votre produit utilise le composant affecté ni que la version exploitable y est présente. Les configurations privées d’une organisation ne doivent pas être visibles dans ce corpus public.
Accès et lecture des compteurs
L’écran se trouve dans l’administration plateforme. Un rôle d’organisation, même administrateur, ne suffit pas à obtenir cet accès. Les contrôles plateforme distinguent consultation, configuration des sources et opérations d’exploitation ; ne déduisez pas l’ensemble des droits de la présence d’un écran.
Les indicateurs sont Enregistrements connus, Avec identifiant CVE, Exploitation connue et Sources du corpus. Le récapitulatif par source distingue le nombre de vulnérabilités canoniques, le nombre d’observations et la Dernière collecte.
Par exemple, une CVE peut être citée dans plusieurs avis d’un même éditeur et enrichie par une autre source. Il est normal que le nombre d’observations soit supérieur au nombre d’enregistrements canoniques. Aucun volume historique de la base ne doit être pris pour un compteur courant.
Rechercher et filtrer
Recherche accepte une CVE, un identifiant d’avis ou un titre. Criticité distingue Information, Faible, Moyenne, Élevée et Critique. Exploitation connue permet de réduire les résultats selon l’indication publique disponible.
Les facettes Source, Éditeur et Produit proviennent des valeurs effectivement présentes dans le corpus. Recherchez un produit dans le champ prévu plutôt que supposer qu’un nom commercial figure nécessairement dans les données. Le périmètre de produit peut dépendre de l’éditeur choisi.
Utilisez Appliquer pour charger les résultats, Réinitialiser pour enlever les filtres et Résultats par page pour choisir 25 ou 50 lignes. Les filtres sont conservés dans l’URL de cette liste publique ; une URL de produit client ne doit pas être copiée à la place.
Détail et provenance
Voir le détail ouvre Détail et provenance. L’écran distingue Résumé, Détails techniques, CVSS, EPSS, Versions affectées, Versions corrigées, Publication, Première détection Hoctave, Dernière détection Hoctave et Provenances publiques.
Le CVSS décrit une gravité technique ; l’EPSS apporte une estimation probabiliste d’exploitation selon sa source. Ils ne mesurent pas à eux seuls le risque CRA estimé de votre produit. Une indication d’exploitation publique ne détermine pas automatiquement l’obligation de notification de votre organisation.
Pour chaque provenance, examinez la source, l’identifiant externe et la dernière collecte. Ouvrir la source permet de confronter le résumé à l’avis public. La date de publication et la date de collecte décrivent deux événements distincts.
Sources et limites d’enrichissement
OSV et GitHub Advisory décrivent notamment des écosystèmes de paquets ; NVD enrichit les références publiques ; CISA KEV indique une exploitation connue ; FIRST EPSS fournit son score ; CVE.org relaie les données des autorités de numérotation ; Siemens ProductCERT publie des avis de sécurité produit.
La présence d’un fournisseur pris en charge dans le code ne signifie pas qu’il est actif ou exhaustif dans l’environnement observé. Vérifiez les sources présentes et les dates affichées. Les sources ne fournissent pas toutes un éditeur, un produit, une plage affectée ou une version corrigée.
Non disponible signifie que l’information n’est pas accessible dans la projection consultée. Cela ne prouve ni l’absence de vulnérabilité ni la correction d’un produit. Les collectes peuvent être partielles, retardées ou limitées à un périmètre d’avis.
Passer à une décision produit
Confrontez le signal externe à l’inventaire, à la version et à la configuration du produit concerné. Documentez la portée de l’avis et les informations manquantes dans le parcours de points de sécurité autorisé. La création d’une vulnérabilité CRA formelle reste une qualification humaine distincte.
Il n’est pas établi ici qu’un bouton du corpus crée directement un objet tenant. Ne transformez pas une possibilité technique de collecte en procédure client non observée.
FAQ et diagnostic
Aucune ligne ne correspond. Réinitialisez les filtres, testez la CVE exacte et examinez le périmètre des sources. Un corpus vide ou une recherche sans résultat est différent d’une lecture indisponible.
Le détail manque. Revenez à la liste et rechargez. Une projection a pu changer ou devenir inaccessible. N’utilisez pas des données privées pour compléter le corpus.
Les données semblent anciennes. Comparez publication, mise à jour et dernière collecte, puis demandez au support une vérification de fraîcheur avec la référence publique. Les procédures internes de collecte et de réparation sont réservées à l’exploitation et ne font pas partie de ce guide.
Articles liés
Article issu de la base de connaissance CRA Manager.
Cet article a-t-il été utile ?
C'est super !
Merci pour votre commentaire
Désolé ! Nous n'avons pas pu vous être utile
Merci pour votre commentaire
Commentaires envoyés
Nous apprécions vos efforts et nous allons corriger l'article