SCA (analyse de composition logicielle)
SCA · Software Composition Analysis · analyse de composition logicielle · analyse des dépendances · bibliothèques open source · dépendances vulnérables
Analyse qui recense les bibliothèques open source et tierces utilisées par une application, pour signaler celles qui contiennent des vulnérabilités connues ou posent un problème de licence.
En pratique
Une application moderne se compose en majorité de code qu’elle n’a pas écrit : bibliothèques, frameworks, images de conteneurs. L’outil de SCA lit les fichiers de dépendances (package-lock.json, pom.xml, composer.lock…), dépendances indirectes comprises, et les compare aux bases de vulnérabilités (CVE, avis des éditeurs). Les meilleurs outils indiquent si le code vulnérable est réellement appelé et proposent la version corrigée. La SCA alimente aussi le SBOM, l’inventaire des composants que le Cyber Resilience Act impose aux fabricants.
Cas réel : en 2017, Equifax n’avait pas corrigé une faille critique du framework open source Apache Struts, signalée en mars ; des attaquants l’ont exploitée sur son portail de gestion des litiges et ont dérobé les données d’environ 147 millions de personnes (source : FTC, juillet 2019).
Comment s’en protéger
- Analyser les dépendances à chaque compilation et bloquer les vulnérabilités critiques.
- Automatiser les mises à jour de dépendances, avec tests à l’appui.
- Supprimer les bibliothèques inutilisées : moins de composants, moins de failles.
