Inventario, dónde está el componente y en qué versión

La CMDB dice lo que alguien declaró y suele recordar solo lo que se usa de forma directa. La lista de componentes que sale al compilar (el SBOM) ve las dependencias heredadas, pero solo de lo que la empresa compila. El escaneo de paquetes lee archivos reales en los servidores, pero no ve lo que no está instalado como archivo suelto. El proveedor sabe lo que lleva su producto, pero su palabra no es evidencia.

Una dependencia heredada o transitiva es la que una aplicación trae porque otra pieza que usa la necesita; el equipo de desarrollo puede no saber que está.

Abre cmdb.csv, sbom.csv y escaneo-de-paquetes.csv. Una aplicación de terceros no se compila en la empresa, así que no aparece en el SBOM, y nadie la declaró en la CMDB. Aun así su producto puede llevar el componente por dentro. Ese caso solo lo encuentra la lectura de archivos en el servidor.

Cuando dos fuentes discrepan en una versión, la regla 3 del leeme.txt dice cuál manda: la que viene de leer el archivo real. La versión declarada en la CMDB se escribe una vez y no se actualiza sola; puede describir lo que debería estar instalado, no lo que está.

Ahora se junta todo. Una aplicación cuenta como afectada si cualquier fuente confiable muestra una versión dentro del rango del primer aviso, de 3.4.0 a 3.9.1, y la versión que vale es la del archivo real. Las que están por debajo de 3.4.0 no se cuentan, y las que no se pueden determinar se anotan aparte, no se suman.

Aplica las reglas del leeme.txt y cuenta las aplicaciones con una versión dentro del rango.

Dos aplicaciones de terceros no tienen versión: el proveedor de correo-web dice que no usa el componente, sin mostrar nada, y el de agenda-flota todavía revisa. El escaneo del servidor de correo-web tampoco encontró un archivo, pero puede no ver dentro de un paquete cerrado.

Dejarlas como «no afectadas» porque no se encontró nada es el error más caro del inventario: se confunde la ausencia de evidencia con la evidencia de ausencia.