Le système de build va se mettre à faire le tour de tous les liens de stockage des dépendances , et ne va pas faire la distinction entre Toto sur Toto . fr ou , par exemple , Toto sur GitHub . Il ira au plus simple et prendra la version la plus récente » . Vous l'aurez aussi compris , certaines des applications visées par la faille sont reconstruites et / ou mises à jour quasi-quotidiennement ( ou des centaines , voire des milliers de fois par jour pour un service comme Amazon ) . « Ce qui pousse à prendre certains raccourcis qui ne sont pas toujours optimaux » . On définit et on schématise la « compromission des dépendances » , avec Jérôme Thémée Aujourd'hui , on fait rentrer , à la maison , de nouveaux services , de nouvelles personnes et fonctions . Lorsque je fais entrer un Google Home ou un autre objet connecté chez moi , j'ouvre une porte supplémentaire . Ici , dans les nouveaux systèmes d'information , nous faisons des applications plutôt 2 . 0 , avec , quelque part , du SaaS ( software as a service ) , dans le Cloud . Et il est vrai que pour programmer ces applications , il est plus simple de prendre des briques déjà fabriquées ailleurs que de construire sa maison et ses propres briques . On préfère louer , consommer et jeter . Voilà ce que sont les dépôts : chercher du code tout fait , à gauche , à droite , etc . Mais ce code , doit-on lui faire confiance à 100 % ? Car s'il est compromis , il compromet mon application . C'est sur cette partie-là que nous pourrions vous alarmer et céder à la panique . Mais nous avons souhaité faire preuve de raison et ne pas nous arrêter à la simple évocation de la vulnérabilité , ni aux noms ronflants évoqués ( Uber , Tesla , Netflix , Apple , tout ça tout ça ) . La sagesse avant tout ! Oui , la faille permet à un attaquant d'injecter une backdoor dans les systèmes utilisés .