arpsyndicate/suricata-vedasGénération autonome pilotée par VEDAS + contributions communautaires de règles Suricata et Nuclei pour plus de 14 000 CVE
Ce dépôt est un espace de validation ouvert et collaboratif pour le contenu de détection des CVE :
La plupart des signatures sont générées de manière autonome par le Vulnerability & Exploit Data Aggregation System (VEDAS) d'ARPSyndicate. L'IA nous permet de créer rapidement et à grande échelle du contenu de détection à partir du renseignement sur les vulnérabilités et les exploits. Une détection fiable nécessite néanmoins transparence, relecture humaine et tests en conditions réelles ; c'est pourquoi le contenu est publié ici afin que la communauté puisse le réviser, le valider, le corriger et l'enrichir via des issues et des pull requests.
15 048 CVE uniques couvertes. La plupart disposent à la fois d'une règle Suricata et d'un template Nuclei ; 541 CVE destructives ou de type DoS sont couvertes uniquement par détection réseau — une règle Suricata passive sans vérification Nuclei active (listées dans SURICATA_ONLY.txt).
| Année de la CVE | Signatures Suricata | Signatures Nuclei |
|---|---|---|
| 1999 | 6 | 6 |
| 2000 | 20 | 20 |
| 2001 | 27 | 24 |
| 2002 | 84 | 84 |
| 2003 | 74 | 72 |
| 2004 | 193 | 191 |
| 2005 | 538 | 537 |
| 2006 | 1 434 | 1 431 |
| 2007 | 1 182 | 1 170 |
| 2008 | 1 860 | 1 839 |
| 2009 | 870 | 859 |
| 2010 | 713 | 707 |
| 2011 | 212 | 206 |
| 2012 | 362 | 340 |
| 2013 | 257 | 234 |
| 2014 | 367 | 341 |
| 2015 | 250 | 236 |
| 2016 | 176 | 166 |
| 2017 | 444 | 413 |
| 2018 | 647 | 595 |
| 2019 | 453 | 421 |
| 2020 | 571 | 537 |
| 2021 | 775 | 733 |
| 2022 | 746 | 726 |
| 2023 | 784 | 756 |
| 2024 | 915 | 833 |
| 2025 | 574 | 552 |
| 2026 | 519 | 478 |
suricata/<YYYY>/CVE-YYYY-NNNNN.rules # one file per CVE, one rule per line
nuclei/<YYYY>/CVE-YYYY-NNNNN.yaml # one template per CVE
payloads/ # self-hosted PoC payloads (SVG/DTD/CSV/…) so checks need no external host
scripts/ # validation tooling used by CI (run it locally too)
.github/ # CI workflows, issue forms, PR template
<YYYY> est l'année de la CVE, pas l'année de rédaction de la signature.
Suricata (testé sur Suricata 8.x) :
cat suricata/*/*.rules > vedas.rules
suricata -T -c /etc/suricata/suricata.yaml -S vedas.rules # test-load first
Ou ajoutez le répertoire à rule-files: dans suricata.yaml. Les SIDs 1000000-1999999 proviennent de VEDAS et 3000000-3999999 de la communauté. Aucune de ces plages ne chevauche ET Open.
Nuclei (testé sur Nuclei v3) :
nuclei -t nuclei/ -u https://target.example
Ne scannez que les systèmes que vous êtes autorisé à tester.
Les contributions de toutes sortes sont les bienvenues :
| Vous souhaitez... | Faites ceci |
|---|---|
| Signaler une règle qui se déclenche sur du trafic légitime | Ticket de faux positif |
| Signaler une règle qui manque une exploitation réelle | Ticket de faux négatif |
| Signaler une règle qui ne se charge pas ou qui est lente | Ticket de signature défectueuse |
| Demander une couverture pour un CVE | Demande de signature |
| Corriger ou ajouter une signature | Ouvrez une pull request : voir CONTRIBUTING.md |
Chaque pull request est vérifiée automatiquement. Elle doit se charger dans les moteurs réels Suricata/Nuclei et passer le lint du dépôt, et le CVE ciblé doit exister sur cve.org. Vous pouvez exécuter les mêmes vérifications localement avant de pousser (voir CONTRIBUTING.md).
Les signatures générées par VEDAS sont uniquement validées syntaxiquement. Des tests logiques n'ont pas été effectués dans la plupart des cas. Validez chaque signature dans votre propre environnement avant de la déployer. Les signatures revues par la communauté sont signalées comme telles dans l'historique de leur pull request. Ce contenu est fourni tel quel, sans garantie d'aucune sorte (voir LICENSE).
Les signatures sont autonomes et adaptées à un usage sur site : chaque payload PoC dont une vérification a besoin est stocké dans payloads/ et servi depuis ce dépôt, sans dépendance à un hôte tiers.
VEDAS agrège des renseignements librement accessibles (OSINT) provenant de tout l'internet — bases de données de vulnérabilités, avis, publications d'exploits et de PoC, ensembles de règles de détection, et recherches partagées par des éditeurs, des CERT, des chercheurs indépendants et la communauté de cybersécurité au sens large. Ce flux est bâti sur ces connaissances collectives, et nous sommes reconnaissants envers toutes les personnes qui y contribuent. Lorsque la logique de détection spécifique a été adaptée d'un projet sous licence ouverte — notamment projectdiscovery/nuclei-templates (MIT) — le crédit figure dans NOTICE. Les contributeurs de la communauté sont crédités dans le champ info.author de chaque template et dans l'historique des pull requests.
Veuillez signaler de manière privée les problèmes de sécurité liés à l'outillage de ce dépôt. Voir SECURITY.md.