{"id":8037,"date":"2026-10-20T06:00:00","date_gmt":"2026-10-20T05:00:00","guid":{"rendered":"https:\/\/www.blaess.fr\/christophe\/?p=8037"},"modified":"2026-10-19T15:14:44","modified_gmt":"2026-10-19T14:14:44","slug":"analyser-les-rapports-cve-de-yocto-avec-cve-parse","status":"publish","type":"post","link":"https:\/\/www.blaess.fr\/christophe\/2026\/10\/20\/analyser-les-rapports-cve-de-yocto-avec-cve-parse\/","title":{"rendered":"Analyser les rapports CVE de Yocto avec cve-parse"},"content":{"rendered":"
\n
\"\"<\/a><\/figure>\n<\/div>\n\n\n

Pour faciliter l\u2019analyse des rapports concernant les CVE produits lors d\u2019un build<\/em> Yocto Project, j\u2019ai d\u00e9velopp\u00e9 un petit outil nomm\u00e9 cve-parse<\/strong><\/code>. Il permet d\u2019obtenir rapidement une vue d\u2019ensemble des composants d\u2019une image, de consulter les vuln\u00e9rabilit\u00e9s associ\u00e9es \u00e0 un composant particulier ou de rechercher directement une CVE.<\/p>\n\n\n\n

Dans le pr\u00e9c\u00e9dent article<\/strong><\/a>, consacr\u00e9 au Cyber Resilience Act<\/em>, nous avons vu qu\u2019en cas de d\u00e9couverte d\u2019une vuln\u00e9rabilit\u00e9 activement exploit\u00e9e, l\u2019une des premi\u00e8res questions auxquelles le fabricant doit pouvoir r\u00e9pondre est tr\u00e8s simple en apparence : mon produit contient-il le composant vuln\u00e9rable ?<\/p>\n\n\n\n\n\n\n\n

Dans un syst\u00e8me Linux embarqu\u00e9, la r\u00e9ponse est rarement simple \u00e0 obtenir. Une image contient plusieurs dizaines ou centaines de composants logiciels, auxquels peuvent \u00eatre associ\u00e9es des centaines, voire des milliers d\u2019entr\u00e9es CVE.<\/p>\n\n\n\n

Le projet Yocto fournit heureusement les outils n\u00e9cessaires pour produire une SBOM<\/strong> (Software Bill of Materials<\/em>, \u00ab\u00a0inventaire logiciel\u00a0\u00bb en fran\u00e7ais) et analyser les vuln\u00e9rabilit\u00e9s connues associ\u00e9es aux composants d\u2019une image. Les informations produites sont tr\u00e8s compl\u00e8tes. Parfois m\u00eame un peu trop si l’on veut simplement obtenir un premier aper\u00e7u de la situation.<\/p>\n\n\n\n

C\u2019est pour faciliter cette exploration que j\u2019ai d\u00e9velopp\u00e9 (avec pas mal d’aide de Codex<\/strong>), un petit outil nomm\u00e9 cve-parse<\/strong><\/code>. Son code est disponible ici : https:\/\/github.com\/cpb-\/yocto-cve-parser<\/a><\/strong>. Il est plac\u00e9 sous licence MIT.<\/p>\n\n\n\n

Dans cet article, nous allons construire une image Yocto de test, g\u00e9n\u00e9rer son rapport de vuln\u00e9rabilit\u00e9s puis voir comment cve-parse<\/code> permet de l\u2019explorer.<\/p>\n\n\n\n

Je suis parfaitement conscient qu’il existe probablement d’autres outils<\/strong> permettant d’analyser les CVE et les rapports de Yocto Project<\/em>, j’avais simplement envie d’un outil adapt\u00e9 \u00e0 mon besoin<\/strong> (le suivi du socle logiciel offert par Eris Linux<\/strong><\/a>) et c’\u00e9tait l’occasion de m’amuser avec Codex<\/strong> pour le d\u00e9veloppement et la documentation d’un petit outil Open Source<\/em>.<\/p>\n\n\n\n

Produire un rapport CVE avec Yocto<\/h1>\n\n\n\n

Pour cet exemple, je vais utiliser Yocto Cooker<\/strong>, afin d’acc\u00e9l\u00e9rer la mise en place du build<\/em>. Commen\u00e7ons par cr\u00e9er un environnement Python d\u00e9di\u00e9, et installer Cooker :<\/p>\n\n\n\n

$ sudo apt install  python3.12-venv<\/strong>\n  [...]\n\n$ python3  -m  venv  cooker-env<\/strong>\n\n$ . cooker-env\/bin\/activate<\/strong>\n\n$ python3  -m  pip  install  --upgrade  yocto-cooker<\/strong>\n  [...]<\/code><\/pre>\n\n\n\n
R\u00e9cup\u00e9rons ensuite les menus d’exemple<\/strong> fournis dans le d\u00e9p\u00f4t de Yocto Cooker :<\/p>\n\n\n\n
$ git  clone  https:\/\/github.com\/cpb-\/yocto-cooker<\/strong>\n\n$ cp  yocto-cooker\/sample-menus\/qemu-sample-menu-wrynose.json  .<\/strong><\/code><\/pre>\n\n\n\n
Nous allons utiliser une cible QEMU Arm<\/strong>, pour produire rapidement une image, mais ce qui nous int\u00e9resse ce sont les rapports de vuln\u00e9rabilit\u00e9s. Je n’ai m\u00eame pas l’intention de faire d\u00e9marrer l’image produite.<\/p>\n\n\n\n
Les lignes \u00e0 ajouter dans le fichier conf\/local.conf<\/code> pour produire le rapport de vuln\u00e9rabilit\u00e9 ont chang\u00e9<\/a> depuis la branche Wrynose. 🙄 <\/p>\n\n\n\n
Avec le menu utilisant la branche Yocto Wrynose<\/strong>, nous ajoutons au fichier local.conf<\/code> la ligne OE_FRAGMENTS<\/strong><\/code> suivante :<\/p>\n\n\n\n
\"local.conf\": [\n    \"MACHINE = 'qemuarm'                     \",\n    \"DISTRO  = 'poky'                        \",\n    \"IMAGE_FEATURES += 'empty-root-password' \",\n    \"OE_FRAGMENTS += 'core\/yocto\/sbom-cve-check' \"\n<\/strong>]<\/code><\/pre>\n\n\n\n
Alors qu’avec une branche ant\u00e9rieure comme Scarthgap<\/strong>, il fallait ajouter la ligne INHERIT<\/strong><\/code> :<\/p>\n\n\n\n
\"local.conf\": [\n    \"MACHINE = 'qemuarm'                     \",\n    \"DISTRO  = 'poky'                        \",\n    \"IMAGE_FEATURES += 'empty-root-password' \",\n    \"INHERIT += 'cve-check'                  \"<\/strong>\n]<\/code><\/pre>\n\n\n\n
<\/p>\n\n\n\n
Construction de l\u2019image<\/h2>\n\n\n\n
Nous pouvons construire l’image avec la commande suivante, qui va prendre un peu de temps et qui produira par la m\u00eame occasion le rapport de vuln\u00e9rabilit\u00e9s :<\/p>\n\n\n\n
$ cooker  cook  qemu-sample-menu-wrynose.json<\/strong>\n\n  [...]\n\nInitialising tasks: 100% |########################################| Time: 0:00:04\nNOTE: Executing Tasks\n\n  [...]<\/code><\/pre>\n\n\n\n
Une fois la compilation termin\u00e9e, plusieurs nouveaux \u00e9l\u00e9ments apparaissent dans le r\u00e9pertoire tmp\/<\/code> :<\/p>\n\n\n\n
$ ls  builds\/build-qemuarm\/tmp\/deploy\/<\/strong>\n\nimages  licenses  rpm  sbom-cve-check  spdx<\/code><\/pre>\n\n\n\n
Notamment, dans le r\u00e9pertoire images\/<\/code> :<\/p>\n\n\n\n
$ ls  builds\/build-qemuarm\/tmp\/deploy\/images\/qemuarm<\/strong>\n  [...]\ncore-image-base-qemuarm.rootfs-20261017082851.sbom-cve-check.spdx.json\ncore-image-base-qemuarm.rootfs-20261017082851.sbom-cve-check.yocto.json\ncore-image-base-qemuarm.rootfs-20261017082851.spdx.json\n  [...]\ncore-image-base-qemuarm.rootfs.sbom-cve-check.spdx.json\ncore-image-base-qemuarm.rootfs.sbom-cve-check.yocto.json\ncore-image-base-qemuarm.rootfs.spdx.json<\/code><\/pre>\n\n\n\n
Le fichier qui nous int\u00e9resse principalement est core-image-base-qemuarm.rootfs.sbom-cve-check.yocto.json<\/code><\/strong>. Il contient le rapport produit par Yocto. En jetant un coup d\u2019\u0153il \u00e0 son contenu nous voyons qu’il est particuli\u00e8rement d\u00e9taill\u00e9, et sera difficile \u00e0 consulter tel quel :<\/p>\n\n\n\n
{\n  \"version\": \"1\",\n  \"package\": [\n    {\n      \"name\": \"acl\",\n      \"layer\": \"core\",\n      \"version\": \"2.3.2\",\n      \"products\": [\n        {\n          \"product\": \"acl\",\n          \"cvesInRecord\": \"Yes\"\n        }\n      ],\n      \"issue\": [\n        {\n          \"id\": \"CVE-2009-4411\",\n          \"status\": \"Patched\",\n          \"link\": \"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2009-4411\",\n          \"summary\": \"...\",\n          \"scorev2\": \"3.7\",\n          \"scorev3\": \"0.0\",\n          \"scorev4\": \"0.0\",\n          \"modified\": \"2026-06-16T23:13:36.000\",\n          \"vector\": \"LOCAL\",\n          \"vectorString\": \"AV:L\/AC:H\/Au:N\/C:P\/I:P\/A:P\",\n          \"detail\": \"version-not-in-range\"\n        },\n\n        [...]<\/code><\/pre>\n\n\n\n
Le format est adapt\u00e9 \u00e0 un traitement automatis\u00e9 et contient beaucoup d\u2019informations int\u00e9ressantes : composant, num\u00e9ro de version, num\u00e9ro de CVE, pr\u00e9sence d’un patch<\/em>, score CVSS, vecteur d\u2019attaque, description, etc. En revanche, pour un humain il est difficile de savoir quelles vuln\u00e9rabilit\u00e9s non corrig\u00e9es sont pr\u00e9sentes dans l’image.<\/p>\n\n\n\n
On peut \u00e9videmment \u00e9crire des requ\u00eates jq<\/code>, mais j\u2019avais envie d\u2019un petit outil sp\u00e9cialis\u00e9 permettant de naviguer rapidement dans ces informations.<\/p>\n\n\n\n
Pour les branches de Yocto ant\u00e9rieures (jusqu’\u00e0 Scarthgap<\/em>), le fichier \u00e9tait :<\/p>\n\n\n\n
$ ls  builds\/build-qemuarm-scarthgap\/tmp\/deploy\/images\/qemuarm\/<\/strong>\ncore-image-base-qemuarm.rootfs-20261017161823.cve\n  [...]\ncore-image-base-qemuarm.rootfs.cve\n  [...]\n$\n<\/code><\/pre>\n\n\n\n
C’est le lien symbolique core-image-base-qemuarm.rootfs.cve<\/code> qui nous int\u00e9resse. Il contient les vuln\u00e9rabilit\u00e9s concernant les packages<\/em> embarqu\u00e9s sur la cible<\/strong>.<\/p>\n\n\n\n
\u00c0 l’inverse, dans le build<\/em> Wrynose<\/strong> utilis\u00e9 ici, j\u2019ai constat\u00e9 que le rapport core-image-base-qemuarm.rootfs.sbom-cve-check.yocto.json<\/code><\/strong><\/code> contient \u00e9galement des composants qui ne sont pas pr\u00e9sents dans le syst\u00e8me de fichiers<\/strong> final. \u00c0 titre d’exemple, bash<\/strong><\/code> appara\u00eet dans le rapport alors qu\u2019il n\u2019est pas install\u00e9 sur notre cible.<\/p>\n\n\n\n
$ jq  -r  \".package[].name\"  core-image-base-qemuarm.rootfs.sbom-cve-check.yocto.json  |  grep  'bash'<\/strong>\nbash\nbash-completion\n<\/code><\/pre>\n\n\n\n
Il faudra donc filtrer les packages<\/strong> pour ne conserver que ceux qui sont dans le manifeste de la cible. Nous utiliserons le second fichier fourni par Yocto (depuis Wrynose<\/em>) : core-image-base-qemuarm.rootfs.spdx.json<\/strong><\/code> et une option sp\u00e9cifique de cve-parse<\/code>.<\/p>\n\n\n\n
Installation de cve-parse<\/code><\/h1>\n\n\n\n
R\u00e9cup\u00e9rons le projet :<\/p>\n\n\n\n
$ git  clone  https:\/\/github.com\/cpb-\/yocto-cve-parser<\/strong><\/code><\/pre>\n\n\n\n
Copions dans notre r\u00e9pertoire de travail les deux fichiers produits par la branche Wrynose<\/em> :<\/p>\n\n\n\n
$ cp  builds\/build-qemuarm\/tmp\/deploy\/images\/qemuarm\/core-image-base-qemuarm.rootfs.sbom-cve-check.yocto.json  .<\/strong>\n\n$ cp  builds\/build-qemuarm\/tmp\/deploy\/images\/qemuarm\/core-image-base-qemuarm.rootfs.spdx.json  .<\/strong><\/code><\/pre>\n\n\n\n
Nous pouvons maintenant commencer l\u2019analyse.<\/p>\n\n\n\n
Aper\u00e7u de la situation<\/h2>\n\n\n\n
Sans option suppl\u00e9mentaire et avec uniquement le fichier de CVE, cve-parse<\/code> affiche un r\u00e9sum\u00e9 par composant<\/strong> mentionn\u00e9 dans le fichier :<\/p>\n\n\n\n
$ .\/cve-parse  core-image-base-qemuarm.rootfs.sbom-cve-check.yocto.json  <\/strong>\nCOMPONENT               VERSION       TOTAL  PATCHED  UNPATCHED  IGNORED  OTHER\nacl                     2.3.2         4      2        2          0        0\nalsa-lib                1.2.15.3      6      2        4          0        0\nalsa-state              0.2.0         0      0        0          0        0\nalsa-ucm-conf           1.2.15.3      0      0        0          0        0\nalsa-utils              1.2.15.2      0      0        0          0        0\nattr                    2.5.2         1      0        1          0        0\navahi                   0.8           26     24       1          1        0\navahi-libnss-mdns       0.15.1        0      0        0          0        0\nbase-files              3.0.14        1      0        0          1        0\nbase-passwd             3.6.8         0      0        0          0        0\nbash                    5.3           18     18       0          0        0\nbash-completion         2.17.0        0      0        0          0        0\nbluez5                  5.86          43     39       1          3        0\n  [...]\nzlib                    1.3.2         16     14       2          0        0\nzstd                    1.5.7         4      4        0          0        0\nTOTAL                                 22445  18522    1073       2850     0\n\nComponents: 93; unique CVEs: 22328\n<\/code><\/pre>\n\n\n\n
Le total fait un peu peur, mais en filtrant<\/strong> avec l’option -f<\/strong><\/code> et la liste des packages r\u00e9ellement embarqu\u00e9s sur la cible, les nombres diminuent :<\/p>\n\n\n\n
$ .\/cve-parse  core-image-base-qemuarm.rootfs.sbom-cve-check.yocto.json   -f  core-image-base-qemuarm.rootfs.spdx.json <\/strong>\nCOMPONENT               VERSION      TOTAL  PATCHED  UNPATCHED  IGNORED  OTHER\nacl                     2.3.2        4      2        2          0        0\nalsa-lib                1.2.15.3     6      2        4          0        0\nalsa-state              0.2.0        0      0        0          0        0\nalsa-ucm-conf           1.2.15.3     0      0        0          0        0\nalsa-utils              1.2.15.2     0      0        0          0        0\nattr                    2.5.2        1      0        1          0        0\navahi                   0.8          26     24       1          1        0\navahi-libnss-mdns       0.15.1       0      0        0          0        0\nbase-files              3.0.14       1      0        0          1        0\nbase-passwd             3.6.8        0      0        0          0        0\nbluez5                  5.86         43     39       1          3        0\nbusybox                 1.37.0       51     47       4          0        0\ndbus                    1.16.2       26     26       0          0        0\ndosfstools              4.2          2      2        0          0        0\neudev                   3.2.14       0      0        0          0        0\nexpat                   2.7.5        70     59       11         0        0\nglib-2.0                2.88.2       35     35       0          0        0\nglibc                   2.43+git     179    159      16         4        0\ninit-ifupdown           1.0          0      0        0          0        0\ninit-system-helpers     1.69         0      0        0          0        0\ninitscripts             1.0          2      2        0          0        0\nkmod                    34.2         0      0        0          0        0\nlibcap                  2.77         5      5        0          0        0\nlibdaemon               0.14         0      0        0          0        0\nlibffi                  3.5.2        1      1        0          0        0\nlibgcc                  15.3.0       16     16       0          0        0\nlibpcre2                10.47        19     11       8          0        0\nlibtirpc                1.3.7        5      5        0          0        0\nlibx11                  1.8.13       22     18       4          0        0\nlibxau                  1.0.12       0      0        0          0        0\nlibxcb                  1.17.0       1      1        0          0        0\nlibxcrypt               4.5.2        0      0        0          0        0\nlibxdmcp                1.1.5        1      1        0          0        0\nlibxml2                 2.15.2       120    111      9          0        0\nlinux-yocto             6.18.39+git  20851  17061    952        2838     0\nmodutils-initscripts    1.0          0      0        0          0        0\nncurses                 6.6          31     31       0          0        0\nnetbase                 6.5          0      0        0          0        0\nopenssl                 3.5.7        322    299      23         0        0\nopkg-utils              0.7.0        0      0        0          0        0\npackagegroup-base       1.0          0      0        0          0        0\npackagegroup-core-boot  1.0          0      0        0          0        0\npsplash                 0.1+git      0      0        0          0        0\nreadline                8.3          1      1        0          0        0\nrpcbind                 1.2.8        4      4        0          0        0\nshadow                  4.19.4       13     12       0          1        0\nshadow-securetty        4.6          0      0        0          0        0\nshared-mime-info        2.4          0      0        0          0        0\nsysvinit                3.14         0      0        0          0        0\nsysvinit-inittab        2.88dsf      0      0        0          0        0\ntar                     1.35         20     17       2          1        0\nttyrun                  2.41.0       1      1        0          0        0\nupdate-rc.d             0.8+git      0      0        0          0        0\nutil-linux              2.41.5       35     28       7          0        0\nxz                      5.8.2        9      8        0          1        0\nzlib                    1.3.2        16     14       2          0        0\nTOTAL                                21939  18042    1047       2850     0\n\nComponents: 56; unique CVEs: 21936\n<\/code><\/pre>\n\n\n\n
Pour chaque composant logiciel, nous obtenons :<\/p>\n\n\n\n