SBOM leída para el alcance

5 tareas · 36 min · Principiante

A veces el tercero no es una empresa con una cuenta sino una biblioteca que va dentro de tus aplicaciones. El lunes 13 de septiembre de 2027 el mantenedor de una biblioteca de código abierto publica un aviso, y Textiles Lavanda tiene que saber qué aplicaciones la llevan, en qué versión y por dónde llegó. La lista de componentes de cada aplicación (una SBOM) lo responde en minutos si se sabe leer, y se lee con cuidado para no decir más de lo que dice. Solo lectura de listas de ejemplo.

0 de 5 · 0%

Objetivo de la sala

Una SBOM (lista de materiales de software) enumera los componentes que lleva una aplicación y sus versiones, en formatos como SPDX o CycloneDX. Sirve para saber, sin abrir cada aplicación, qué aplicaciones contienen la biblioteca del aviso y en qué versión. Eso es el alcance posible.

No dice si el código con el defecto se llega a usar desde la aplicación, ni si hay otra mitigación. Contener una versión afectada y estar expuesto son cosas distintas, y una SBOM solo responde a la primera.

Responde para continuar

Una aplicación lista una versión afectada en su SBOM. ¿Qué dice y qué no dice eso?

Qué componente y versión lleva, no si el defecto se alcanza desde la aplicación Que el proveedor ya corrigió todos los defectos conocidos de los componentes que lista Que la aplicación es vulnerable siempre que contenga una versión afectada, sin más comprobaciones

Un componente directo lo eligió quien desarrolló la aplicación; uno transitivo llegó porque otro lo necesita. Las transitivas son las que más se pasan por alto: no figuran en la lista de lo que alguien decidió usar, y por eso se buscan en la SBOM por nombre y por versión.

El aviso del mantenedor dice qué versiones están afectadas. Se busca la aplicación en la que la biblioteca está en una versión afectada y llegó de forma transitiva.

Responde para continuar

¿Qué aplicación incluye la versión afectada de libtramas solo de forma transitiva?

Ver pista de ayuda

Ejecuta `SELECT * FROM aviso_del_mantenedor` para el rango y `SELECT * FROM sbom` para la relación de cada fila.

La columna «requerido por» dice qué componente directo trae la biblioteca. Importa porque la corrección casi nunca es tocar la biblioteca: se actualiza el componente que la trae, o el proveedor de la aplicación publica una versión nueva. Saber la cadena evita pedir al proveedor equivocado.

Responde para continuar

¿Qué componente directo trae libtramas a esa aplicación?

Ver pista de ayuda

Ejecuta `SELECT * FROM sbom` y mira la fila transitiva de esa aplicación.

El rango afectado va de la 2.3.0 a la 2.4.1, ambas incluidas. Una versión anterior a la 2.3.0 no está en el rango, y una igual o posterior a la 2.4.2 ya trae la corrección. Se cuentan aplicaciones, no filas: una aplicación con la biblioteca de dos maneras contaría una sola vez.

Responde para continuar

¿Cuántas aplicaciones tienen libtramas en una versión dentro del rango afectado? Escribe solo el número.

Ver pista de ayuda

Ejecuta `SELECT * FROM sbom` y compara la versión de libtramas de cada aplicación con el rango del aviso.

Los proveedores publican a veces una declaración de explotabilidad: «afectada», «no afectada» (con una razón), «corregida» o «en investigación». Es una afirmación del proveedor sobre su propio producto, útil para priorizar y no una comprobación hecha por ti.

La tabla de declaraciones dice quién afirma qué y con qué justificación.

Responde para continuar

El proveedor de una aplicación declara «no afectada» porque su código no invoca la parte con el defecto. ¿Cómo se trata?

Darla por buena y sacar la aplicación del alcance de inmediato, porque el proveedor conoce su propio producto mejor que nadie Tomarla como una afirmación a contrastar: pedir la justificación y mantener la aplicación en la lista hasta comprobarla Descartarla y tratar la aplicación como afectada para siempre, sin volver a mirar la declaración

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Qué dice una lista de componentes Lab

2 La que no la eligió nadie Lab

3 Por dónde llegó Lab

4 Cuántas aplicaciones están en el rango Lab

5 Lo que dice el proveedor de una aplicación Lab

Whoami-Labs Pro utiliza cookies