Dependencias y SBOM, saber qué hay dentro de cada servicio

Un SBOM es la lista de componentes que lleva un software, con sus versiones y de dónde vienen. Existen formatos estándar para escribirlo, entre ellos CycloneDX y SPDX, y las herramientas de análisis de dependencias suelen generarlo. Responde a la pregunta «¿qué hay dentro?».

Un VEX es otra cosa: una declaración sobre si una vulnerabilidad concreta afecta o no a un producto. Puede decir afectado, no afectado, en investigación o corregido, y en los dos primeros casos explica por qué. Responde a la pregunta «¿esto me afecta?». Tener un componente en el SBOM no equivale a estar afectado, y por eso conviene que los dos documentos se lean juntos.

La mayoría de las bibliotecas de un servicio no las eligió nadie: llegan porque otra biblioteca las necesita. Se llaman transitivas. Son las que más sorprenden cuando sale un aviso, porque no aparecen en el archivo de dependencias que el equipo escribió.

Por eso conviene saber qué componente directo introduce cada transitiva. A veces un solo componente la arrastra a varios servicios, y actualizarlo cierra el hueco en todos a la vez. Abre aviso-libmalla.txt y componentes.csv y mira la columna introducido_por.

Un aviso dice qué versiones están afectadas. Para contar los servicios hay que comparar versión por versión y descartar dos grupos: los que ya tienen la versión corregida y los que no están en producción. Los segundos no son urgentes, aunque sí deben quedar registrados para el siguiente cambio.

Lee en el aviso el rango afectado y recorre las filas de libmalla en componentes.csv. Cuenta solo las que están en producción.

El equipo de desarrollo puede demostrar que una vulnerabilidad existe en una biblioteca y, sin embargo, no se puede alcanzar desde su servicio: la función afectada no se llama, o la condición necesaria no se da. Esa conclusión, firmada y justificada, es lo que recoge un VEX con estado «no afectado».

Es una conclusión que se verifica, no una opinión. Una justificación vaga («creemos que no pasa nada») no sirve; una concreta y comprobable sí. Abre vex.csv y busca qué servicio se declaró no afectado.

El inventario incluye un servicio que usa una versión afectada pero no está desplegado. No hay clientes ahí, no hay datos reales, y atenderlo antes que a los demás sería gastar horas escasas en lo que menos las necesita. Tampoco se debe ignorar: el día que se despliegue, el problema irá con él.