Qué es VEX y qué pregunta responde

En la gestión de componentes se cruzan cuatro documentos. El SBOM lista qué componentes lleva un producto. Un aviso (por ejemplo, un CVE) describe un fallo en un componente concreto. El informe del escáner junta los dos y marca las coincidencias. El VEX añade lo que faltaba: la opinión de quien conoce el producto sobre si ese fallo lo afecta y en qué estado está su tratamiento.

La tabla documentos los resume con un ejemplo de cada uno. Fíjate en que ninguno de los tres primeros responde por sí solo a la pregunta que más le importa a quien recibe el informe.

La tabla hallazgos trae los doce hallazgos del escaneo sobre dos productos de terceros. La última columna, vex_del_proveedor, dice si el proveedor del producto ya publicó una declaración para ese CVE. Un hallazgo con declaración publicada no es un hallazgo resuelto: es un hallazgo sobre el que ya hay una opinión del proveedor que hay que leer, y esa opinión puede decir que sí afecta.

Cuenta cuántos de los doce tienen declaración publicada.

Entre los hallazgos con declaración publicada hay uno cuyo CVSS es el más alto. El CVSS mide la gravedad teórica del fallo; no mide si el producto concreto es alcanzable. Por eso un CVSS alto con una declaración del proveedor es el primer sitio donde leer, y no un motivo para dejar la alerta tal cual ni para archivarla sin leer.

Un componente puede estar en el producto y su fallo no ser alcanzable: el código vulnerable no se compila, nunca se ejecuta o los datos que llegan a él no los controla nadie de fuera. El escáner solo ve la lista de componentes y sus versiones; no ve eso. Quien sí lo ve es el equipo que construyó el producto, y VEX es el vehículo para decírselo a los clientes de forma que una máquina pueda leerlo.