Un exemple d’évaluation de produit

1. L’inventaire

La sortie d’un scanner pour un conteneur partagé : 10 composants. Le document obtient 67 sur 100 pour la complétude : il indique les versions et les identifiants, mais 0 % des composants nomment un fournisseur et 0 % une licence.

• axios 0.32.0
• cryptography 46.0.5
• debug 2.6.9
• eslint-plugin-restart-vega-soap 1.0.0
• nginx 1.18.0-6.1+deb11u8
• node 20.15.1
• openssl 3.0.19-1~deb12u2
• org.apache.logging.log4j:log4j-core 2.25.4
• py-infopullhydra 1.0.0
• snakeyaml 2.0

2. Les constats

26 constats ouverts sur ces composants : 3 critiques, 13 de gravité élevée, 7 de gravité moyenne et 3 de gravité faible. Les paquets malveillants viennent en tête, car la base indique qu’ils ont été publiés pour nuire.

3. Le résultat face à la politique Bloqué

Ce SBOM ne respecte pas la politique de mise en production : 2 paquets malveillants pour une limite de 0. La note du produit est D, un score de 40,0.

4. Les correctifs choisis

Dans l’ordre. Aucune mise à jour ne lève un paquet malveillant : les retirer vient d’abord, et c’est ce qui lève ce blocage.

1. Retirer eslint-plugin-restart-vega-soap@1.0.0
2. Retirer py-infopullhydra@1.0.0
3. Mettre à jour openssl 3.0.19-1~deb12u2 → 3.0.20-1~deb12u2 lève 9
4. Mettre à jour axios 0.32.0 → 0.34.0 lève 9
5. Mettre à jour cryptography 46.0.5 → 50.0.0 lève 5

Les trois mises à jour seules lèveraient 23 constats. La note reste D, à un score de 40,0, car un paquet malveillant actif maintient un produit à D ou moins tant qu’il n’est pas retiré. Une fois les changements livrés, le SBOM suivant passe par la même vérification.

5. Les preuves

Face au EU Cyber Resilience Act, ce produit affiche 34,4 % de préparation sur 16 contrôles applicables : 4 satisfaits, 3 à examiner, 4 écarts et 5 en attente d’attestation. Ce niveau de préparation est un chiffre à examiner, jamais une certification.

Des fichiers à ouvrir

• Le rapport de préparation PDF, tel qu’un lecteur l’imprime
• L’inventaire CycloneDX
• Les constats SARIF
• Le document VEX CSAF ; ce produit n’a pas encore de déclaration