Ce qui arrive après la publication d'une vulnérabilité

• Publication d'un exploit

  • Programme permettant de tester la vulnérabilité, en tentant de l'exploiter
    • Attention, s'assurer que l'exploit fait bien ce qu'il prétend faire et pas autre chose..
  • Tous les exploits ne sont pas égaux !
    • Suivant la nature de la vulnérabilité, l'exploit peut être spécifique à une version donnée du logiciel
    • Typiquement à cause d'adresses mémoire qui peuvent varier suivant les versions logicielles utilisées
    • Un exploit dit "universel" fonctionnera sur plusieurs versions du logiciel (ex : différents Service Pack et différentes langues d'un système Windows
  • L'exploit peut être fourni par le découvreur de la vulnérabilité
  • Il peut aussi être écrit de façon indépendante, en se basant
    • sur les détails fournis dans l'avis initial
    • sur une recherche menée par d'autres chercheurs en vulnérabilités
    • sur le correctif de sécurité binaire fourni par l'éditeur
    • sur les modifications apportées dans le code source des projets OpenSource