SBOM: qué dice y qué no

Un SBOM enumera los componentes que forman un software: nombre, versión y de qué otros componentes depende cada uno. Existen formatos estándar, entre ellos SPDX y CycloneDX. Se genera al compilar o al empaquetar, y su valor está en que responde rápido «¿tenemos este componente y en qué versión?» cuando aparece un aviso nuevo.

Un SBOM, por sí solo, no lista vulnerabilidades. Para eso se cruza con una fuente de avisos. Y por ser una foto del momento en que se generó, envejece: si cambian las dependencias después, deja de ser verdad.

Las dependencias no son solo las que el equipo eligió: cada librería trae las suyas, y esas llegan sin que nadie las haya pedido. Se llaman dependencias transitivas. Cuando aparece un aviso sobre una de ellas, arreglarlo suele exigir actualizar la librería que la trae, no la dependencia directamente, y por eso el SBOM guarda también las relaciones.

Abre sbom-tienda-api.json y aviso-CVE-2026-90111.txt. El aviso afecta al componente parser-pampa.

Un aviso habla de versiones: «las anteriores a tal». Para saber si te afecta hay que comparar la versión que tienes con ese rango. Un componente listado sin versión no se puede comparar: puede estar afectado o no, y el SBOM no lo dice. Es una de las primeras cosas que se revisa en un SBOM recibido, porque un inventario con huecos produce falsos «no estamos afectados».

El SBOM de esta aplicación se generó el 4 de agosto; la imagen en producción se reconstruyó después, con un archivo de bloqueo distinto. Cuando un SBOM y el manifiesto de lo desplegado no coinciden, manda lo que corre: la vulnerabilidad se explota donde hay código, no donde hay inventario. De ahí que convenga generar el SBOM de la imagen final, en cada compilación, y no conservar el de una fecha cualquiera.

Compara la lista de componentes con manifiesto-imagen-desplegada.txt.

El aviso afirma que todas las versiones anteriores a la 1.9.4 están afectadas, y el manifiesto muestra una versión anterior: el componente está presente y en rango. Eso no responde la pregunta que importa: si esta aplicación lo usa de forma que la falla se active. La condición del aviso (un archivo de entrada con cierta estructura) depende de lo que la aplicación hace con él.

Para comunicar ese resultado existe VEX: una declaración con la que quien conoce el producto dice si una vulnerabilidad lo afecta o no, con estados como not_affected, affected, fixed o under_investigation. El SBOM lista; el VEX concluye.