Je suis mitigé. CVE avait plein de problèmes, mais un gros avantage: il y avait un id unique pour les bugs.
Là, je sens venir le truc bien pénible. Genre la faille gcve-2025-12345 faut la corriger? Parceque redhat, qui est CNA, l'a assigné redhat-2025-54321 impactant drupal, alors qu'il s'agit d'un bug d'authent dans la lib php nommé php-errata-pre-8.52. Sauf que mon dahsboard indique que apache n'est pas en dernière version car le bug cve-canal-historique-2025-543210 est censé corriger la faille drupal. Du côté de chez drupal, ils ont choisi une convention de nommage différente, mais ils ne communiquent pas sur celui-ci car le bug impacte un module tierce partie qui n'est pas dans leur codebase.
Le développeur de la lib incriminé a froze son projet et communiqué en disant "j'ai perdu les clés github pour push du code et je m'en bat les steaks". Côté éditeur de WAF ils ont choisi de la nommer drupal-severity-low-update-001-2025 parcequ'un gugus sur reddit a dit que c'était grave et que le market doit justifier auprès des actionnaires du nombre de vulns corrigées (le nombre importe peu, il suffit qu'il soit supérieur à celui du concurrent).
Debian décide de push un update deb-quilt-updat0-php-sourcee, mais associe dedans l'ensemble des correctifs de la lib php ce qui couvre aussi un module WordPress, car entretemps, on s'est rendu compte qu'un coréen avait porté le module drupal sous Wordpress. Mais là, un pirate s'amuse et deface des sites wordpress en mettant une image de kiwi (l'animal, pas le fruit) donc la presse se met à parler de la faille "kiwi" et le gouvernement néo zélandais s'insurge et demande de communiquer sur cette faille par son numéro wordpress-0002 afin d'éviter des amalgames pénibles.
Bref. CVE c'était pas pratique, mais ça avait un avantage certain.
[^] # Re: L'essentiel en français
Posté par octane . En réponse au lien CVE program faces swift end after DHS fails to renew contract, leaving security flaw tracking in lim. Évalué à 8. Dernière modification le 16 avril 2025 à 14:36.
Je suis mitigé. CVE avait plein de problèmes, mais un gros avantage: il y avait un id unique pour les bugs.
Là, je sens venir le truc bien pénible. Genre la faille gcve-2025-12345 faut la corriger? Parceque redhat, qui est CNA, l'a assigné redhat-2025-54321 impactant drupal, alors qu'il s'agit d'un bug d'authent dans la lib php nommé php-errata-pre-8.52. Sauf que mon dahsboard indique que apache n'est pas en dernière version car le bug cve-canal-historique-2025-543210 est censé corriger la faille drupal. Du côté de chez drupal, ils ont choisi une convention de nommage différente, mais ils ne communiquent pas sur celui-ci car le bug impacte un module tierce partie qui n'est pas dans leur codebase.
Le développeur de la lib incriminé a froze son projet et communiqué en disant "j'ai perdu les clés github pour push du code et je m'en bat les steaks". Côté éditeur de WAF ils ont choisi de la nommer drupal-severity-low-update-001-2025 parcequ'un gugus sur reddit a dit que c'était grave et que le market doit justifier auprès des actionnaires du nombre de vulns corrigées (le nombre importe peu, il suffit qu'il soit supérieur à celui du concurrent).
Debian décide de push un update deb-quilt-updat0-php-sourcee, mais associe dedans l'ensemble des correctifs de la lib php ce qui couvre aussi un module WordPress, car entretemps, on s'est rendu compte qu'un coréen avait porté le module drupal sous Wordpress. Mais là, un pirate s'amuse et deface des sites wordpress en mettant une image de kiwi (l'animal, pas le fruit) donc la presse se met à parler de la faille "kiwi" et le gouvernement néo zélandais s'insurge et demande de communiquer sur cette faille par son numéro wordpress-0002 afin d'éviter des amalgames pénibles.
Bref. CVE c'était pas pratique, mais ça avait un avantage certain.