La seule entrée identique des deux côtés est précisément celle où le fournisseur a soumis lui-même le CVSS à NVD.

La cause n'est pas une dissimulation : lorsque le fournisseur ne soumet pas de score, CISA-ADP attribue automatiquement un score selon le pire scénario, et la plupart des outils SCA reprennent la valeur NVD. Ce n'est pas un bug, c'est le référentiel propre à chacun des deux systèmes de notation — mais votre processus d'urgence suit le 9.8.

Et il y a une seconde chose : la version vers laquelle le fournisseur vous demande de migrer peut être introuvable

Test réel (avec témoin positif, relancé à chaque génération de la table de règles) :

Dans le tableau des versions de correctif du fournisseur, ces versions sont marquées Enterprise Support Only — réservées aux clients ayant acheté le support commercial. Donc si vous êtes réellement concerné, vos options sont : migrer vers une version majeure supérieure, ou acheter le support commercial.

Utilisation

Nécessite JDK 17+. Zéro dépendance à l'exécution, aucune connexion réseau.

Code de sortie : 0 version non concernée · 2 version concernée mais aucune condition de déclenchement trouvée · 3 conditions de déclenchement également remplies.

À quoi ressemble la sortie

L'autre moitié — pourquoi les 7 autres ne divergent pas

Le tableau ci-dessus pourrait laisser penser que « NVD attribue toujours des scores au hasard ». Non. Dans le même lot de données, il y a 7 autres entrées dont l'évaluation officielle et l'évaluation NVD sont parfaitement identiques :

Aucun contre-exemple dans les deux directions, c'est le seul jugement causal que cet outil ose affirmer :

• 7 entrées avec évaluations identiques → la source du score est dans tous les cas [email protected] (soumis par le fournisseur lui-même)
• 8 entrées avec évaluations divergentes → la source du score est dans tous les cas CISA-ADP (le fournisseur n'a pas soumis, un tiers attribue automatiquement selon le pire scénario)

Le script de génération utilise deux assertions pour surveiller respectivement ces deux directions (ASSERT4 / ASSERT7) ; si un contre-exemple apparaît, la table est refusée.

🔑 Pourquoi vérifier les deux directions : le fait que « les entrées identiques soient toutes des auto-évaluations du fournisseur » n'exclut pas que certaines entrées divergentes soient aussi des auto-évaluations du fournisseur. Si une telle entrée apparaissait, la causalité aurait un contre-exemple, et en ne vérifiant qu'une seule direction, la table entière serait quand même générée et tout serait vert. Une assertion unidirectionnelle ne prouve pas la causalité.

Référentiel — à lire entièrement avant de conclure

• « Non concerné » ne signifie pas « sûr ». La condition de déclenchement peut se trouver dans une bibliothèque tierce dont vous dépendez, être déployée via des variables d'environnement ou un centre de configuration, ou simplement vous n'avez pas transmis le répertoire du code source. Le rapport dit toujours « non trouvé dans votre code source », jamais « vous n'êtes pas affecté ».
• Couvre uniquement les quatre lots listés ci-dessus, soit 15 entrées au total, ce n'est pas un scanner de vulnérabilités exhaustif et ne remplace pas un SCA.
• La couverture inclut la ligne Spring Framework 5.3 (support OSS terminé le 2024-08-31, version finale 5.3.39). En exécutant avec spring-core-5.3.39.jar, 11 entrées sont concernées, et pour ces 11 entrées, aucune version de correctif fournie par le fournisseur n'existe sur Maven Central public (5.3.45 / 5.3.49 / 5.3.50, toutes marquées Enterprise Support Only).
• Correspondance textuelle uniquement, pas d'AST. C'est un compromis délibéré : le chemin critique doit pouvoir être lu et vérifié par un humain — une décision incompréhensible, si elle est erronée, ne peut être détectée par personne.
• L'écart d'évaluation est une lecture objective, ce n'est ni « le fournisseur vous cache quelque chose » ni « NVD signale au hasard ».

D'où viennent les données / comment vérifier soi-même

La table de décision est générée par tools/gen_rules.py à partir de quatre sources primaires, sans recopie manuelle :

Relancer une fois équivaut à une nouvelle vérification :

Le script contient six assertions ; si l'une échoue, la table est refusée, dont trois qui surveillent directement les affirmations de cet outil :

• ASSERT2 Nombre d'entrées avec divergence officiel⟷NVD — s'il tombe à zéro, l'affirmation est invalidée, arrêt immédiat
• ASSERT3 Détection Central avec témoin positif — si le témoin échoue, tous les 404 de ce lot sont annulés
• ASSERT4 Pour l'entrée identique, la source du score doit être une auto-évaluation du fournisseur — c'est la seule preuve de la « cause »

License

Apache-2.0