> For the complete documentation index, see [llms.txt](https://docs.medcrypt.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.medcrypt.com/fr/helm/manage-vulnerabilities.md).

# Gérer les vulnérabilités

## Présentation

Après avoir associé les composants du SBOM aux composants logiciels de la NVD, à partir d’une ou de plusieurs [sources de correspondance](/fr/helm/match-unmatched-components/understand-match-sources.md), vous pourrez voir toutes les vulnérabilités signalées pour ces composants.

{% hint style="warning" %}
**IMPORTANT :** Si vous avez un statut **correspondant** sans badge **NVD** cela signifie qu’aucune correspondance n’a été trouvée dans la NVD : le composant n’a donc pas de vulnérabilités ou porte un nom différent dans la NVD. Consultez [Résoudre les statuts correspondants](/fr/helm/match-unmatched-components.md) pour en savoir plus. Vous devez identifier une correspondance exacte dans la NVD pour voir les vulnérabilités associées à ce composant.
{% endhint %}

## Afficher les vulnérabilités

Dans le tableau **Vulnérabilités** , si aucun produit ni aucune version n’est sélectionné, vous verrez toutes les vulnérabilités de tous les produits et de toutes les versions. Sélectionnez un produit et une version pour afficher uniquement les vulnérabilités correspondantes.

### **Colonnes des vulnérabilités**

Vous pouvez [personnaliser votre vue](/fr/helm/get-started-with-helm/get-familiar-with-the-helm-ui.md#customizable-data-display) pour répondre au mieux à vos besoins.

**Informations générales et correctifs**

* **ID de la vulnérabilité :** Il s’agit de l’ID de la vulnérabilité. Vous pouvez cliquer sur celle-ci pour ouvrir ses détails, où vous pourrez accéder à la vulnérabilité dans la base de données de la NVD. Pour le moment, il s’agit uniquement de CVE provenant de la NVD, mais nous travaillons à ajouter d’autres types de vulnérabilités, notamment celles d’OSV.dev et les vulnérabilités privées. Alors [faites-nous savoir](mailto:support@medcrypt.com) si vous en avez besoin ou si d’autres types vous seraient utiles !
  * **Badge KB :** Pour les vulnérabilités Windows, si une KB est disponible pour appliquer un correctif, un badge KB s’affiche. [Cliquez ici pour sélectionner une KB à appliquer](/fr/helm/manage-vulnerabilities/patch-windows-vulnerabilities-in-bulk-or-individually.md). En général, la KB affichée en premier comprend le plus grand nombre de correctifs cumulés.
  * **Icône de bouclier :**
    * Pour les vulnérabilités Windows, une icône de bouclier s’affiche si un correctif a été appliqué au moyen d’une KB Windows. Ces lignes apparaissent également en grisé pour indiquer que vous n’avez plus à vous en préoccuper. Vous devrez toutefois définir un état de correction pour ces vulnérabilités.
    * Les vulnérabilités Ubuntu déjà corrigées dans la version que vous utilisez sont indiquées comme corrigées automatiquement. Vous ne pouvez pas appliquer de correctifs Ubuntu.
* **Nom du produit :** Il s’agit du produit dont le SBOM répertorie tous les composants. Cette colonne s’affiche uniquement si vous n’avez pas sélectionné de produit et de version spécifiques.
* **Version du produit :** Il s’agit de la version du produit. Cette colonne s’affiche uniquement si vous n’avez pas sélectionné de produit et de version spécifiques.
* **Dépendance :** Dans d’autres systèmes, cet élément peut être appelé un composant. Il s’agit du micrologiciel, du logiciel, des correctifs ou du système d’exploitation installé sur les représentations physiques de votre dispositif (par exemple, Windows ou OpenSSL).
* **Version de la dépendance :** Il s’agit de la version du composant (par exemple, 10.1 pour Windows).
* **Fournisseur de la dépendance**: il s’agit du nom du fournisseur (par exemple, Microsoft pour Windows).
* **Détectée le :** Au départ, cette date indique uniquement quand le fournisseur a détecté la vulnérabilité dans son logiciel. Si le fournisseur, le NIST ou un tiers met à jour les informations sur la vulnérabilité, une date de **Mise à jour le** s’affiche sous la date **Détectée le** .
* **Date de mise à jour :** Cette date indique la dernière mise à jour de la vulnérabilité par le fournisseur, le NIST ou un tiers.

**Évaluation des risques**

* **Scores CVSS :** Si vous avez un appareil ancien, il se peut qu’aucun score v3 ne soit disponible. Pour les appareils plus récents, il se peut qu’aucun score v2 ne soit disponible. Si les deux scores sont disponibles, il est recommandé d’utiliser le score v3.
  * **v3 :** Indique le score CVSS v3 de cette vulnérabilité. Vous pouvez filtrer les résultats pour n’afficher que les scores v3, s’ils sont disponibles.
  * **v2 :** Indique le score CVSS v2 de cette vulnérabilité. Vous pouvez filtrer les résultats pour n’afficher que les scores v2, s’ils sont disponibles.
* **Source :** Indique la source à partir de laquelle cette vulnérabilité a été récupérée :
  * **NVD :** Vulnérabilités extraites directement de la National Vulnerability Database (NVD).
  * **IA :** Vulnérabilités enrichies par notre intelligence artificielle fondée sur un grand modèle de langage (LLM). Lorsqu’une vulnérabilité de la NVD ne comporte pas de données CPE, notre IA l’enrichit et détermine si elle affecte votre produit. Ces badges IA mettent en évidence des vulnérabilités qui pourraient autrement passer inaperçues, afin de vous offrir une vue complète de votre niveau de risque global.
* **Exploits/menaces :** Si des exploits ou des menaces connus correspondent à cette vulnérabilité, des indicateurs s’affichent.
  * **CISA KEV :** Cette vulnérabilité figure dans la liste des [vulnérabilités exploitées connues](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
  * **TOP CWE :** Cette vulnérabilité répond aux critères de la liste des [25 principales CWE](https://cwe.mitre.org/top25/archive/2022/2022_cwe_top25.html#cwe_top_25) .
  * **EXPLOIT DB :** Cette vulnérabilité fait l’objet d’un exploit connu dans l’ [Exploit Database](https://www.exploit-db.com/)
  * **METASPLOIT :** Cette vulnérabilité figure dans l’ [Exploit Database](https://www.exploit-db.com/) et un kit est disponible dans [Metasploit](https://www.metasploit.com/) , un outil de pirates informatiques qui facilite les attaques.
* **EPSS :** Cet indicateur correspond à la probabilité, selon l’Exploit Prediction Scoring System, que cette vulnérabilité soit exploitée. Plus le score est élevé, plus la probabilité que la vulnérabilité soit exploitée au cours des 30 prochains jours est importante. Ce pourcentage est calculé à partir de différentes [sources et méthodes de calcul des données](https://www.first.org/epss/model) de first.org.
* **Colonnes du vecteur CVSS :** Ajoutez les informations du vecteur CVSS qui vous importent le plus, comme le vecteur d’attaque (AV). Cliquez sur le lien **Columns** pour ajouter ces colonnes.
* **Piles technologiques concernées :** Consultez les piles technologiques concernées dans vos produits. Cliquez sur l’une de ces balises pour ouvrir la fenêtre modale des détails de la vulnérabilité. Faites défiler jusqu’à la section **Recommandations de l’IA** pour accéder à des informations détaillées sur les piles technologiques concernées, aux recommandations de mise à niveau et aux mesures d’atténuation à court terme, le tout étayé par la documentation source. Cliquez sur le lien **Columns** dans le tableau des vulnérabilités, puis activez la colonne **tech stack tags** pour afficher ces informations.

**Correction**

* **État CycloneDX :** Filtrez selon les états de correction CycloneDX, par exemple les éléments exploitables, en cours de triage ou résolus.
* **État VEX :** Filtrez selon les états VEX CycloneDX.

**Actions disponibles**

La prochaine action à entreprendre concernant une vulnérabilité dépend de son type et de son état actuel.

* Vulnérabilités Windows : [Appliquez des correctifs aux vulnérabilités Windows](/fr/helm/manage-vulnerabilities/patch-windows-vulnerabilities-in-bulk-or-individually.md) en masse ou individuellement.
* Correction : [Corrigez les vulnérabilités](/fr/helm/manage-vulnerabilities/remediate-vulnerabilities-in-bulk-or-individually.md) en masse ou individuellement.
* Recalculer le score : [Recalculer le score des vulnérabilités](/fr/helm/manage-vulnerabilities/rescore-vulnerabilities-in-bulk-or-individually.md) en masse ou individuellement. Cela vous permet de vous concentrer sur les vulnérabilités les plus exploitables en fonction de l’environnement et de l’utilisation propres à votre dispositif.
* Obtenir des recommandations de l’IA : sélectionnez une ou plusieurs vulnérabilités pour obtenir des recommandations de mise à niveau et des mesures d’atténuation à court terme, ainsi que les sources citées dans ces recommandations.
* Si vous voyez un badge orange indiquant une gravité élevée dans la colonne **Piles technologiques concernées (impactées)** cliquez sur ce badge pour obtenir des recommandations de mise à niveau et des mesures d’atténuation à court terme, ainsi que les sources citées dans ces recommandations.
* Exporter les vulnérabilités : exportez l’ensemble des vulnérabilités actuellement filtré. Si aucun filtre n’est appliqué, toutes les vulnérabilités seront exportées.
* Afficher les détails : afficher les détails de la vulnérabilité.
* Envoyer la vulnérabilité par e-mail : générer un e-mail contenant les détails de la vulnérabilité à envoyer à votre système de gestion des tickets.

### États de correction

Lors de la correction d’une vulnérabilité, vous pouvez spécifier un état CycloneDX ou VEX, ou les deux.

#### CycloneDX :

Cet état indique si votre produit est concerné par cette vulnérabilité. Les états possibles sont les suivants :

* **Not\_affected :** Aucun composant de dépendance n’est concerné par la vulnérabilité. Si vous sélectionnez cet état, vous devez indiquer une justification.
* **False\_positive :** La vulnérabilité ne concerne aucun composant de dépendance et a été détectée à tort.
* **In\_triage :** Vous, ou une autre personne de votre équipe, examinez cette vulnérabilité.
* **Exploitable :** La vulnérabilité concerne un ou plusieurs composants de dépendance et peut être exploitable directement ou indirectement.
* **Resolved\_with\_pedigree :** Votre équipe a corrigé cette vulnérabilité afin qu’elle ne concerne plus aucun composant de dépendance pour cette version du produit. Si vous sélectionnez cet état, vous devez fournir des informations dans le champ Evidence. Les preuves des modifications apportées pour corriger cette vulnérabilité dans la filiation des composants concernés doivent comprendre un historique de commits vérifiable et/ou des différences (diffs).
* **Resolved :** Votre équipe a corrigé cette vulnérabilité afin qu’elle ne concerne plus aucun composant de dépendance pour cette version du produit.

#### CycloneDX VEX :

Cet état indique si votre produit est concerné par cette vulnérabilité. Il s’agit du profil VEX de CycloneDX ; ses états sont donc un peu moins détaillés que ceux d’OpenVEX. [Faites-le-nous savoir](mailto:support@medcrypt.com) si vous souhaitez que nous proposions OpenVEX prochainement.

Les états possibles sont les suivants :

* **Affected :** Cette vulnérabilité concerne un ou plusieurs composants de dépendance dans la SBOM de cette version du produit. Si vous ne les avez pas encore examinés, cliquez sur **Actions > Remediate**.
* **Unknown :** Votre équipe ne sait pas encore si cette vulnérabilité concerne ce produit. Cliquez sur **Remediate** pour l’évaluer plus en détail.
* **Not\_affected :** Cette vulnérabilité n’a pas d’impact connu sur les composants de dépendance de la SBOM de cette version du produit.

### Filtres de vulnérabilité

Affinez la liste des vulnérabilités selon des critères tels que la gravité, l’exploitabilité et les informations sur les menaces.

**Détails de la vulnérabilité**

* **ID de vulnérabilité :** Recherchez par ID de vulnérabilité, par exemple un ID CVE.
* **Mis à jour le :** Sélectionnez une période pour afficher toutes les vulnérabilités mises à jour dans des sources externes pendant cette période. Les mises à jour effectuées par votre équipe dans le cadre de l’examen et de l’analyse de sécurité ne sont pas incluses.

**Informations sur le vecteur de vulnérabilité**

Recherchez par vecteur d’attaque, complexité de l’attaque et autres métriques CVSS. Consultez [Comprendre le système de notation des vulnérabilités CVSS](/fr/helm/manage-vulnerabilities/identify-and-prioritize-exploitable-vulnerabilities/understand-issue-severity-level/understand-the-cvss-vulnerability-scoring-system.md) pour en savoir plus.

**Détails de la gravité**

* **Tout score CVSS :** Si les scores CVSS v2 ne vous intéressent pas, sélectionnez le filtre Any CVSS > CVSS 3 (si disponible). Les résultats n’incluront des scores CVSS v2 que si aucun score CVSS v3 n’est disponible.
* **CVSS :** Rechercher tous les scores CVSS supérieurs ou égaux à un nombre donné. Par exemple, une recherche sur 8 renverra les scores de 8 à 10.
  * **Scores critiques**: 9 à 10
  * **Scores élevés**: 7-8
  * **Scores moyens**: 4-6
  * **Scores faibles**: 1-3
  * **Aucun**: 0
* **EPSS :** Rechercher tous les scores EPSS supérieurs ou égaux à un nombre donné. Par exemple, une recherche sur 80 renverra toutes les vulnérabilités dont le score EPSS est de 80 % ou plus.

**Détails sur l’exploitabilité**

* **Toute source d’exploit :** Rechercher dans toutes les sources d’exploitabilité et de menace, ou dans certaines d’entre elles, notamment CISA KEV, ExploitDB, Top CWE, Metasploit et NVD.
* **Toute source :** Filtrer les vulnérabilités répertoriées dans la NVD ou déduites par notre copilote IA à partir de nombreuses sources de données.

**Détails de la correction**

* **Tout état de correctif :** Rechercher toutes les vulnérabilités Windows pour lesquelles un correctif est disponible, qui sont corrigées ou qui ne sont pas corrigées par une mise à jour KB Windows.
* **Tout état CycloneDX :** Filtrer selon l’état de correction CycloneDX. Pour afficher les vulnérabilités sans état de correction CycloneDX, sélectionnez **Non défini**.
* **Tout état VEX :** Filtrer selon l’état de correction VEX de CycloneDX. Pour afficher les vulnérabilités sans état de correction VEX, sélectionnez **Non défini**.

**Détails de la pile technologique**

* **Pile technologique affectée :** Vérifiez si vos piles technologiques sont exposées à un risque. Le cas échéant, elles apparaissent dans la colonne Impacted tech stacks avec un badge orange indiquant une gravité élevée. Cliquez sur un badge de pile technologique pour obtenir des recommandations générées par l’IA concernant les mises à niveau et les mesures d’atténuation à court terme, ainsi que pour consulter les sources fournies.
* **Pile technologique non affectée :** Si une pile technologique est explicitement déclarée non affectée, elle apparaît dans la colonne Impacted tech stacks avec un badge gris.

### Conservation des scores CVSS

Les scores CVSS v2 et v3 attribués à l’origine sont conservés dans notre base de données et continuent de s’afficher dans les informations sur les vulnérabilités, même s’ils ne figurent plus dans le dernier flux NVD.

Lorsque la NVD attribue des scores de gravité CVSS v2 ou v3 à des CVE, puis les supprime par la suite, notre système conserve les scores d’origine afin d’assurer la cohérence. Cette approche présente plusieurs avantages :

* Maintient la cohérence des niveaux de gravité des vulnérabilités au fil du temps
* Empêche les évaluations des vulnérabilités de changer de manière inattendue à la suite de mises à jour des données du NVD
* Garantit la conservation des enregistrements historiques des vulnérabilités avec leur classification de gravité d’origine
* Fournit des rapports plus stables à des fins de conformité et d’audit

<br>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.medcrypt.com/fr/helm/manage-vulnerabilities.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.