Évaluer une vulnérabilité (VEX)

Une évaluation consigne ce qu’une vulnérabilité signifie pour votre produit, dans le vocabulaire VEX que comprennent les outils et les clients. C’est votre décision : Provetry la garde, l’inscrit dans le journal de preuves et, si vous ouvrez une page publique, liste les évaluations non concerné et corrigé dans son flux VEX (vos explications restent privées).

1. Sur la vulnérabilité, cliquez sur Modifier l’évaluation.
2. Choisissez le statut :
   • Non concerné, avec la raison : le composant n’est pas dans le produit, le code vulnérable n’est pas dans le produit, le code vulnérable n’est jamais exécuté, un attaquant ne peut pas l’atteindre, ou des mesures d’atténuation sont déjà en place ;
   • Concerné, avec la mesure : ce que les utilisateurs doivent faire, ou ce que vous allez livrer ;
   • Corrigé ;
   • En cours d’analyse.
3. Ajoutez l’explication avec vos mots, puis Enregistrer l’évaluation.

Pourquoi c’est utile

• La même décision n’a pas à être prise deux fois : elle suit dans les versions suivantes qui contiennent le même composant.
• Si une version ultérieure la contredit (une vulnérabilité jamais exécutée selon vous est désormais appelée par votre code), Provetry le signale.
• Les téléchargements de la version comprennent un document OpenVEX avec vos évaluations.