Scan de dépendances¶

Détecter les CVE dans vos dépendances avant qu'elles ne deviennent un incident de sécurité.

C'est quoi une CVE ?¶

Une CVE (Common Vulnerabilities and Exposures) est un identifiant unique attribue a une faille de sécurité connue, au format CVE-YYYY-NNNNN.

Deux bases de données principales recensent ces failles :

• NVD (National Vulnerability Database) — maintenue par le NIST (USA)
• OSV (Open Source Vulnerabilities) — maintenue par Google, orientée open source

Score CVSS¶

Chaque CVE reçoit un score CVSS (Common Vulnerability Scoring System) qui mesure sa gravite :

Cycle de vie d'une vulnérabilité¶

graph LR
    A["Découverte"] --> B["Attribution CVE"] --> C["Publication"] --> D["Patch"] --> E["Adoption"]

1. Découverte — un chercheur ou un attaquant identifie la faille
2. Attribution CVE — le MITRE attribue un identifiant unique
3. Publication — la faille est rendue publique avec ses détails
4. Patch — le mainteneur publie un correctif
5. Adoption — les utilisateurs mettent à jour leurs dépendances

Pourquoi scanner¶

Vos dépendances, c'est du code que vous n'avez pas écrit mais dont vous etes responsable. Un projet Python ou JavaScript typique embarque des centaines de paquets transitifs — autant de surfaces d'attaque potentielles.

Exemples marquants¶

• Log4Shell (CVE-2021-44228, CVSS 10.0) — une simple chaîne de caractères dans un log permettait l'exécution de code à distance. Des milliers d'applications Java impactees en quelques heures.
• event-stream (npm, 2018) — un mainteneur malveillant a injecte du code visant les portefeuilles de cryptomonnaies via une dépendance transitive. Supply chain attack classique.

Python — pip-audit¶

Installation¶

pip install pip-audit

Utilisation de base¶

pip-audit

pip-audit interroge la base OSV (Google) et compare les versions installees dans votre environnement avec les vulnérabilités connues.

Mode offline (airgap)¶

Pour les environnements deconnectes d'Internet :

1. Sur une machine connectee, télécharger le cache :

   pip-audit --cache-dir ./pip-audit-cache --dry-run
   

2. Transferer le dossier pip-audit-cache vers la machine cible

3. Scanner en mode offline :

   pip-audit --cache-dir ./pip-audit-cache
   

Lecture du rapport¶

Le rapport affiche quatre colonnes essentielles :

Remédiation¶

pip install --upgrade package==fixed_version

Remplacez package par le nom du paquet et fixed_version par la version corrigee indiquee dans le rapport.

Found 3 known vulnerabilities in 2 packages

Name       Version  ID                  Fix Versions
---------- -------- ------------------- ------------
requests   2.25.1   PYSEC-2023-74       2.31.0
urllib3    1.26.5   PYSEC-2023-212      1.26.18
urllib3    1.26.5   CVE-2023-45803      1.26.18

pip install --upgrade requests==2.31.0 urllib3==1.26.18

JavaScript — npm audit¶

Utilisation de base¶

npm audit est intégré directement dans npm — aucune installation supplémentaire nécessaire.

npm audit

Lecture du rapport¶

Le rapport affiche pour chaque vulnérabilité :

• Severity — low, moderate, high, critical
• Package — le paquet concerne
• Patched in — la version corrigee
• Dependency of — quel paquet de premier niveau tire cette dépendance
• Path — la chaîne de dépendances complète

Correction automatique¶

# Correction conservative (ne casse pas les versions majeures)
npm audit fix

# Correction forcee (peut mettre a jour des versions majeures)
npm audit fix --force

Trivy filesystem — alternative unifiee¶

Trivy (Aqua Security) est un scanner unique capable d'analyser les dépendances de multiples langages : Python, JavaScript, Go, Java, Ruby, Rust, etc.

Préparation offline¶

Sur une machine connectee, télécharger la base de vulnérabilités :

trivy --download-db-only

Transferer le dossier de cache (par défaut ~/.cache/trivy/) vers la machine cible.

Scan¶

trivy filesystem --skip-db-download --severity HIGH,CRITICAL .

• --skip-db-download — utilise la base locale, pas de connexion requise
• --severity HIGH,CRITICAL — filtre les résultats pour se concentrer sur les failles graves
• . — scanne le répertoire courant

Comparaison avec les outils natifs¶

Trivy détecté souvent les mêmes CVE que pip-audit ou npm audit, mais offre l'avantage d'un outil unique pour tous les langages d'un projet polyglotte. Comparez les résultats pour vous assurer qu'aucune faille n'echappe a un seul outil.

Tableau comparatif¶

Points clés¶