Y'a-t'il eu des cas où des constructeurs concurrents (Cisco, Arista, Ericsson) n'ont pas publié de CVE suite à la découverte de failles ?

Claude AI: Excellente question, et elle touche à un problème structurel de l'industrie entière. Oui, il y a eu des cas documentés.

C'est un sujet qui révèle un double standard frappant dans l'industrie. Voici les cas documentés les plus significatifs.

Cisco
Les implants NSA (révélations Snowden/Shadow Brokers, 2013-2016)

C'est le cas le plus spectaculaire. JETPLOW est un implant de persistance firmware pour les pare-feux Cisco PIX et ASA, qui modifie le système d'exploitation au démarrage et installe une backdoor persistante. Il fonctionne conjointement avec l'implant BANANAGLEE. Ces outils n'ont jamais fait l'objet de CVE de la part de Cisco — ils ont été révélés à l'extérieur, d'abord par les documents Snowden puis par le groupe Shadow Brokers. Cisco a confirmé l'authenticité de ces vulnérabilités seulement après la fuite, indiquant que les données volées dataient de 2010 à 2013, ce qui signifie que les pare-feux Cisco ont pu être vulnérables pendant des années.

Plus récemment encore, le SANS Institute a écrit sarcastiquement que CVE-2024-20439 était "l'une des nombreuses backdoors dont Cisco aime équiper ses produits", en référence aux credentials statiques codés en dur découverts dans Cisco Smart Licensing Utility — un type de faille que Cisco a également laissé passer dans Firepower Threat Defense, Emergency Responder et DNA Center.

Juniper Networks — Le cas le plus documenté de l'industrie
C'est probablement l'affaire la plus grave jamais impliquant un constructeur occidental.

En décembre 2015, Juniper Networks a annoncé que des attaquants inconnus avaient ajouté du code non autorisé à ScreenOS, le système d'exploitation de leurs routeurs VPN NetScreen. Ce code créait deux vulnérabilités : un contournement d'authentification permettant un accès administratif à distance, et une vulnérabilité permettant le déchiffrement passif du trafic VPN.

Le détail crucial : Juniper avait intégré Dual_EC_DRBG, un générateur de nombres pseudo-aléatoires largement soupçonné d'avoir été backdooré par la NSA. Juniper était au courant des risques potentiels dès 2013, mais avait assuré à ses clients que son implémentation était sécurisée. Trois ans plus tard, en décembre 2015, la société a admis que certaines versions de ScreenOS pouvaient être compromises via ce générateur. Pire, elle a déclaré qu'il n'existait aucun moyen de détecter si cette vulnérabilité avait été activement exploitée.

Des parlementaires américains ont envoyé une lettre à Juniper pour lui demander pourquoi la société avait "discrètement ajouté un algorithme de chiffrement conçu par la NSA et vraisemblablement backdooré", et comment les paramètres de cette backdoor avaient pu être modifiés par une entité inconnue des années plus tard, probablement au détriment de la sécurité nationale américaine. Juniper a indiqué avoir ajouté le support de Dual EC DRBG à la demande d'un client, sans préciser lequel ni s'il s'agissait d'une agence gouvernementale américaine.

Juniper encore — CVE délibérément omis (2024)
Plus récemment, Juniper Networks a été accusé de dissimuler des CVE : quatre vulnérabilités signalées par la chercheuse Aliz Hammond de watchTowr ont été corrigées sans se voir attribuer de CVE individuels. Juniper avait demandé un délai par rapport à la fenêtre de divulgation habituelle de 90 jours, puis publié les correctifs sans disclosure individuelle. Ce n'est qu'après un article du Register que Juniper a publié un advisory hors-cycle et s'est excusé auprès de ses clients.

Le contexte général
Ce que ces cas illustrent est structurel : la non-publication de CVE peut résulter de pressions d'agences de renseignement (via le mécanisme américain de "Vulnerabilities Equities Process" ), de calculs commerciaux (ne pas alarmer les clients), ou de la complexité des chaînes de responsabilité. Cisco et Juniper sont des entreprises américaines soumises à des injonctions légales de ne pas divulguer certaines failles — une réalité que le débat sur Huawei évacue systématiquement.

HCSEC — Huawei Cyber Security Evaluation Centre (Royaume-Uni)
C'est l'organisme le plus rigoureux ayant examiné Huawei. Créé fin 2010 sous l'égide du NCSC (National Cyber Security Centre) et de GCHQ, il a accès au code source de Huawei et évalue ses équipements en continu. Ses rapports annuels ont systématiquement pointé de nombreuses failles de sécurité et de mauvaises pratiques de développement, mais rien dans ces rapports ne suggère que l'État chinois ait planté des backdoors intentionnels dans le code. Le HCSEC lui-même a déclaré qu'il ne croit pas que les défauts identifiés soient le résultat d'une interférence de l'État chinois.

2. BSI — Office fédéral allemand de la sécurité informatique
L'agence de cybersécurité allemande a exprimé son scepticisme face aux appels au boycott de Huawei, indiquant n'avoir vu aucune preuve que la firme pourrait utiliser ses équipements pour espionner Pékin. Son directeur, Arne Schoenbohm, a déclaré : « Pour des décisions aussi sérieuses qu'une interdiction, il faut des preuves », ajoutant que son agence n'en avait aucune. Les experts du BSI avaient pourtant bien examiné des produits et composants Huawei du monde entier.

De plus, une enquête récente de l'agence de cybersécurité allemande, conduite avec l'aide des États-Unis et d'autres alliés, n'a pas réussi à démontrer que Huawei pouvait clandestinement siphonner des données via ses équipements.

3. La Maison-Blanche / Gouvernement américain (2012)
Une revue de sécurité du gouvernement américain, dont les détails ont été divulgués à l'agence Reuters, n'a trouvé aucune preuve que Huawei espionnait pour la Chine. Cette enquête classifiée de 18 mois était approfondie et impliquait près de 1 000 acheteurs d'équipements télécom. Un agent gouvernemental impliqué dans l'enquête a déclaré : « Certaines parties du gouvernement voulaient vraiment trouver des preuves d'espionnage actif. Nous les aurions trouvées si elles avaient existé. »[

4. New America (think tank, analyse 2019)
Cette organisation a conclu qu'il n'existe aucune preuve publique suggérant que les vulnérabilités connues dans les équipements Huawei sont là pour servir de backdoors.

Donald Trump’s Board of Peace fund is empty

The official fund for Donald Trump’s Board of Peace is empty and the organisation is stuck in a legal and political limbo that has held up projects to rebuild Gaza.
The US president described the board, which solicited $1bn “lifetime membership” fees from world leaders, as one of the “most consequential” international organisations created. Member states pledged $7bn for the board’s Gaza “relief package”, and Trump promised a further $10bn in US funding.
But four months after its establishment, the board’s financial fund set up by the World Bank has received no money from donors, according to four people familiar with the matter. “Zero dollars have been deposited,” one said.
Rather than use the fund administered by the World Bank, and endorsed by the UN, the board has received donations directly via its JPMorgan account, the board’s spokesperson and another person familiar with the arrangements said.
While the World Bank must report on the financial position of the Gaza fund to contributors and board members, no independent transparency requirements are in place for the JPMorgan account.
A Board of Peace official told the FT that “a number of options were established to receive funding” including the World Bank mechanism and that “at this point, contributors have opted to use other options”.
The Board of Peace “will report its financials” to its own executive board, which is made up of Trump administration officials and other advisers, “at a time deemed appropriate”, the official added.
Contributions of about $3mn from Morocco and $20mn from the United Arab Emirates have helped fund the office of Nickolay Mladenov, the “high representative” for postwar Gaza, and salaries for the Palestinian technocratic committee that the board formed to govern the strip.
The UAE also recently provided $100mn to train a new police force for Gaza, but the programme has yet to start and the funds are frozen, said two people familiar with the matter.

Contributions ... have helped fund the office of Nickolay Mladenov, the “high representative” for postwar Gaza, and salaries for the Palestinian technocratic committee that the board formed to govern the strip.

Donald Trump’s Board of Peace fund is empty
https://i.ibb.co/DDBYzmbZ/HJTLtw-VWMAIBM.jpghttps://s14.gifyu.com/images/bTYwc.gif
À ranger dans l'étagère aux côtés de Trump vodka, Trump Airlines, Trump steak etc...

Open Source Intel @Osint613
 
Trump on Biden: A Crooked Politician!!! https://t.co/pVyR3SAtRe

L’attente est d’autant plus grande que Gianni Infantino, le président de la Fédération internationale de football (Fifa), organisatrice de la Coupe, avait promis aux villes hôtes “des ‘centaines de milliers’ de visiteurs”. Autour des “rares chanceux” qui auraient un billet, disait-il, “beaucoup, beaucoup d’autres viendront simplement pour participer à quelque chose d’exceptionnel”.

Alors que la Coupe du monde 2026 se jouera dans seize villes en Amérique du Nord, certaines métropoles ont préféré se retirer plutôt que de se plier aux exigences de la FIFA. Montréal et Chicago – pourtant connues comme ville de sport – ont renoncé au Mondial, invoquant opacité financière, risques pour les contribuables et cahier des charges jugé démesuré. Nous avons posé nos questions à Jean-Baptiste Guégan, géopolitologue du sport et professeur à Sciences Po à Paris.  

Many respondents said bookings were even lagging behind that of a typical summer.