Consumir VEX de proveedores

Una declaración VEX habla de un producto en una versión. Que la versión 4.1 de un producto no esté afectada no dice nada de la 4.2: entre una y otra el proveedor pudo añadir el módulo vulnerable o cambiar una dependencia. Por eso la política de Valdemora (regla R2) exige que la versión instalada esté dentro de las que cubre la declaración. La tabla instalado dice qué hay en producción.

Cruza instalado con versiones_cubiertas de vex_recibido. Una declaración no aplica a lo que Valdemora tiene.

La regla R1 acepta solo declaraciones del proveedor del producto o de quien él autorice por escrito. La razón es práctica: quien conoce qué código se compila y qué se ejecuta es el equipo que lo hizo. Una consultora, un revendedor o un tercero bienintencionado pueden tener razón, pero su afirmación es un análisis externo, no una declaración del fabricante, y se trata como un dato más para investigar, no como un VEX aceptable.

Compara la columna autor con el proveedor de cada producto en instalado. La nota de instalado dice cuántas autorizaciones escritas existen.

Aplica la política completa. Se retira un hallazgo cuando la declaración es not_affected, trae justificación y evidencia, la firma el proveedor y cubre la versión instalada. Los hallazgos de cada CVE están en la tabla cola: la declaración aceptada retira todos los de ese CVE en ese producto.

Cuenta cuántos hallazgos de la cola se retiran con las seis declaraciones recibidas.

Una declaración que no retira el hallazgo no se archiva: se anota. Si el proveedor dice under_investigation, el hallazgo se queda en la cola con la fecha de la declaración y se vuelve a mirar cuando salga una versión nueva del documento (política, regla R4). Si dice affected, pasa a priorización con la acción que el proveedor indicó. La declaración sirve en los dos casos aunque no limpie la cola.