Leer un aviso de vulnerabilidad

Un aviso trae, como mínimo: el paquete, el rango de versiones afectadas, la versión en que se corrigió y una gravedad. Para saber si te afecta no importa el nombre ni la gravedad: importa si la versión que tu archivo de bloqueo resolvió cae dentro del rango. El límite inferior suele ser «desde» e incluye esa versión; el superior con «<» es exclusivo, y coincide con la versión corregida, que ya no está afectada. Con un rango «>=1.0.0, <1.3.2», la 1.3.1 está afectada y la 1.3.2 no.

Un mismo fallo puede tener varios nombres según quién lo publique —un CVE, el identificador de un aviso de plataforma, el de una base abierta—; son alias del mismo problema y conviene anotarlos todos.

Es el cálculo que hace un escáner de dependencias, y que puedes repetir a mano para comprobarlo: por cada aviso, toma la versión resuelta del paquete en el archivo de bloqueo y mira si cae dentro de «afectadas». Si no cae, el aviso no te aplica por mucho que el paquete se llame igual. Si cae, anota el aviso con la versión a la que hay que subir. Así se detectan los errores de una herramienta que compara mal los rangos, y se confirma lo que de verdad cuenta.

Hazlo con el archivo de bloqueo de api-despachos y la tabla de avisos del laboratorio.

La gravedad describe lo que el fallo puede hacer en las versiones afectadas; no dice nada de si tu versión lo es. En la tabla hay un aviso de gravedad crítica sobre una librería que sí usa el servicio, pero cuya versión resuelta queda fuera del rango. Subir esa librería de urgencia sería trabajo sin riesgo que reducir. Lo correcto es dejar constancia de que se revisó y por qué no aplica, y volver a comprobar si el archivo de bloqueo cambia.

El criterio es siempre el mismo: primero si la versión está en el rango, y solo después cuánta gravedad tiene.

Cada aviso trae la versión corregida. Es el dato que convierte el aviso en una tarea: «sube la librería a esta versión o a una posterior». A veces el proveedor publica el aviso en su idioma, por lo general inglés, y conviene poder leerlo sin traducir de memoria: «Affected versions» son las versiones afectadas, «Fixed in» la versión que lo corrige, y «Workaround» una medida provisional si la hay.

El texto original del proveedor es la fuente primaria; las bases agregadas lo resumen.

Un aviso puede retirarse: su autor se da cuenta de que el análisis estaba equivocado, o el fallo no era tal. En la tabla hay uno marcado así. Si una herramienta no actualiza su base, sigue abriendo alertas sobre un aviso que ya no existe y el equipo pierde tiempo. Lo prudente es retirarlo de los pendientes, dejar escrito que fue retirado por quien lo publicó y la fecha en que lo revisaste, y volver a mirar si reaparece con otro identificador.

Una alerta sin aviso vigente detrás es ruido; un ruido anotado es un ruido que no se repite.