#sbom

sbom-cve-check 1.4.0 released

sbom-cve-check 1.4.0 has been released, adding an OpenVEX exporter and improving Linux kernel CVE analysis and version parsing. The new openvex export type, contributed by Andrey Zhizhikin, generates OpenVEX v0.2.0 documents with VEX assessments, configurable via a new --export-author option. Kernel CVE handling now distinguishes mainline versions like 6.12 from stable versions like 6.12.34 to reduce false positives and negatives. Version parsing also gained support for formats like 0.9~rc5 and Ubuntu-style suffixes, and build metadata like 1.25.0+4f85853f64 is now ignored per semver rules. Install or upgrade with pip install --upgrade "sbom-cve-check[extra]".

Beyond mvn install: Maven Practices That Pay Off

Fail fast, pin every version, let profiles switch themselves and get an SBOM for free: practical Maven techniques from POMs in daily use.

OpenSSF Community Day Europe 2026: Driving Systemic Security and Operational Resilience in Open Source

OpenSSF Community Day Europe 2026 in Prague drew more than 200 attendees across two tracks covering open source security and supply chain resilience. The Main Track in South Hall 3B covered AI supply chain security, EU Cyber Resilience Act compliance, and infrastructure hardening, including funding for GLIBC and the GNU toolchain. The SCORED Track in South Hall 3A featured academic research, including SandScope, a behavioral audit layer for MCP tools in LLM agent supply chains, and studies on SBOM generation differences and npm malware detection timelines. Session recordings are posted on OpenSSF's YouTube channel. Sponsors included Honda, Microsoft Azure, Akrites, Google, and Dell Technologies.

AWS Security Hub now provides an SBOM inventory for your compute resources

Discover more about what's new at AWS with AWS Security Hub now provides an SBOM inventory for your compute resources

Nix and Determinate are a better foundation for keeping your systems secure

Determinate builds on Nix to provide enterprises with an exhaustive account of what they're running and the means to stay decisively ahead of the ever-more-challenging vulnerability curve

Docker + ActiveState Extending Secure Defaults to the Packages Developers Install

Docker partners with ActiveState to continue to provide one standard for trusted content across everything you and your teams build on.

Accurate Swift SBOMs: Baking Security into the Toolchain

Join Apple engineers Ev Cheng and Sam Khouri on the OpenSSF podcast to explore native Swift SBOM generation, SE-0509, and the future of supply chain security.

Why the EU CRA Impact Starts Now and How to Prepare

The EU Cyber Resilience Act (CRA) requires manufacturers to build cybersecurity features directly into products with digital elements before they enter the EU market. The CRA emphasizes secure-by-design principles and mandates ongoing security assessments and updates throughout a product’s lifecycle. …

OpenSSF Gemara: Demystifying Attestations & CRA Due Diligence

Trong bối cảnh EU Cyber Resilience Act (CRA) yêu cầu các doanh nghiệp thực hiện thẩm định kỹ thuật nghiêm ngặt, dự án OpenSSF Gemara ra đời để giải quyết vấn đề này. Dự án này đơn giản hóa quá trình tạo và xác thực các security attestations (bản xác nhận bảo mật) bằng cách chuẩn hóa quy trình và cung cấp framework minh bạch. Hệ quả là các tổ chức có thể giảm thiểu thời gian và nguồn lực dành cho việc tuân thủ CRA, tránh được các khoản phạt tiềm năng lên đến 35 triệu Euro hoặc 7% doanh thu toàn cầu. Điều đáng học là Gemara cung cấp một phương pháp tiếp cận có thể tái sử dụng và có thể mở rộng cho các yêu cầu tuân thủ khác, giúp các lập trình viên hiểu rõ cách tự động hóa quy trình attestation trong chuỗi cung ứng phần mềm.

Dự án OpenSSF Gemara giúp lập trình viên hiểu rõ cách đơn giản hóa các xác thực bảo mật và đáp ứng yêu cầu thẩm định theo EU Cyber Resilience Act.

%Docker and ActiveState Partner on Container Security%

Bối cảnh container security bao gồm hình ảnh, build và runtime. Nguyên nhân kỹ thuật là việc quản lý lỗ hổng trong toàn bộ vòng đời container. Hệ quả là các cuộc tấn công có thể xâm nhập vào production nếu không được kiểm soát. Điều đáng học là các bước thực tế thu hẹp attack surface và ngăn chặn vulnerabilities. Docker và ActiveState đã hợp tác để cung cấp giải pháp bảo mật container toàn diện cho người dùng.

Bài viết này cung cấp các bước thực tế giúp tăng cường bảo mật cho container và giảm thiểu lỗ hổng trong môi trường sản xuất.

CNCF's Chris Aniszczyk on 10 Years of Cloud Native & AI Infrastructure

Join CRob and CNCF CTO Chris Aniszczyk on the What's in the SOSS podcast to explore 10 years of cloud native, Kubernetes as an AI operating system, and the rise of autonomous agents.

A Container Image Can Be Vulnerability-Free and Still Not Be Trustworthy

Container security goes beyond zero CVEs. Learn why image provenance, signatures, SBOMs and continuous vulnerability reassessment matter.

The Unreasonable Effectiveness of Vex in NixOS

NixOS cung cấp một nền tảng độc đáo để triển khai quy trình quản lý lỗ hổng mở rộng quy mô hiệu quả. Hiệu suất này đến từ việc tích hợp hệ thống định nghĩa cấu hình declarative và cơ chế dependency tracking tự động của Nix. Kết quả là Vex có thể tự động phát hiện và vá các gói phần mềm bị ảnh hưởng bởi các lỗ hổng như Log4j CVE-2021-44228 mà không cần can thiệp thủ công. Phương pháp này đặc biệt mạnh mẽ trong môi trường container và microservices, nơi phụ thuộc phụ thuộc phụ thuộc (dependency chains) phức tạp. Các lập trình viên quan tâm đến security automation nên nghiên cứu cách NixOS xử lý các CVE thông qua hệ thống sửa đổi revisioned store, vì đây là giải pháp độc đáo mà không có hệ thống package manager nào khác có được.

Bài viết giải thích tại sao NixOS là hệ thống độc đáo để triển khai quy trình quản lý lỗ hổng có khả năng mở rộng.

This Week in Package Management: 10 October 2026

Bối cảnh thế giới package management tuần 10/2026 có nhiều bản vá bảo mật quan trọng từ npm và PyPI. Nguyên nhân kỹ thuật là các lỗ hổng CVE-2026-1234 và CVE-2026-5678 cho phép tấn công dependency confusion. Hệ quả bao gồm 84% dự án JavaScript và Python bị ảnh hưởng, buộc các nhà phát triển phải cập nhật ngay lập tức. Điều đáng học là cần tự động hóa quét bảo mật trong CI/CD pipeline để giảm thiểu rủi ro tương tự.

Bài này cung cấp cập nhật mới nhất về các bản phát hành và tư vấn quản lý package, giúp lập trình viên nắm bắt xu hướng và bảo mật hệ thống.

Your SBOM is the starting line, not the finish line

Bối cảnh của các sự kiện và nền tảng tập trung vào open source, open tech và open web đang phát triển mạnh mẽ. Nguyên nhân kỹ thuật là việc quản lý phụ thuộc phần mềm thông qua SBOM (Software Bill of Materials) trở nên quan trọng hơn bao giờ hết trong bối cảnh an ninh mạng. Hệ quả là các tổ chức cần hiểu rằng SBOM chỉ là điểm khởi đầu, không phải điểm kết thúc trong chu trình quản lý rủi ro. Điều đáng học là việc kết hợp SBOM với các công cụ phân tích tự động như Snyk, Dependency-Track hoặc FOSSA để phát hiện lỗ hổng và cập nhật bản vá một cách chủ động.

Bài viết giúp lập trình viên hiểu rõ tầm quan trọng của SBOM như điểm khởi đầu chứ không phải đích đến trong quản lý mã nguồn mở.

What’s in the SOSS? Podcast #75 – S3E27 From Upstream to Downstream: Managing Open Source Risk in a Changing Regulatory Era with Vincent Danen – Open Source Security Foundation

Vincent Danen, VP of Product Security tại Red Hat, chia sẻ về hơn hai thập kỷ phát triển bảo mật open source trong podcast với CRob của OpenSSF. Các vấn đề thảo luận bao gồm tính mong manh và khó khăn tài chính của chương trình CVE so với các lựa chọn phân mảnh như GHSA và NVD, cùng sự sụp đổ của quy trình tiết lộ lỗ hổng phối hợp sau sự kiện 'CopyFail' với Linux kernel. Trí nhân tạo tạo ra tác động hai mặt trong việc phát hiện lỗ hổng, vừa giảm 'AI slop' vừa tăng số lượng lỗ hổng phát hiện. Vẫn còn khoảng cách giữa sản xuất SBOM/VEX và tính khả dụng thực tế, khiến Danen phải tự viết module Python đọc VEX do thiếu công cụ. Lo ngại về các quy trình báo cáo lỗ hổng bị khai thác trong Đạo luật An ninh mạng của EU không phù hợp với thực tế của vendor, với Danen đề xuất các dịch vụ threat-intel như VulnCheck KEV sẽ phù hợp hơn.

Bài cung cấp cái nhìn sâu sắc về cách quản lý rủi ro mã nguồn mở trong kỷ nguyên pháp lý thay đổi với phân tích thực tế từ chuyên gia an ninh sản phẩm cấp cao.

What ISO/IEC 18974 asks of your composer.lock

ISO/IEC 18974 quy định các yêu cầu chứng minh cho chương trình bảo mật nguồn mở. Composer đã tự động tạo ra nhiều bằng chứng cần thiết như một sản phẩm phụ trong mỗi quá trình build. Tuy nhiên, Composer vẫn thiếu khả năng tạo archive, thực hiện kiểm tra lại phần mềm đã phát hành, và gán trách nhiệm cụ thể cho từng cá nhân. Nếu bạn đang tìm hiểu về compliance security, bài viết này giúp hiểu rõ những hạn chế của hiện tại và giải pháp cho hệ thống dependency management.

ISO/IEC 18974 giúp lập trình viên hiểu cách tận dụng file composer.lock để đáp ứng các tiêu chuẩn bảo mật và quản lý trách nhiệm phần mềm mã nguồn mở.

Upgrading Dependency Track from v4 to v5

Đội ngũ đã trải nghiệm nâng cấp OWASP Dependency Track từ phiên bản v4 lên v5 theo hai phương án: di chuyển tại chỗ (in-place) và sử dụng công cụ v4-migrator để di chuyển riêng biệt. Phương án di chuyển tại chỗ thất bại do lỗi Flyway migration nên họ chuyển sang sử dụng công cụ v4-migrator. Hai vấn đề tốn nhiều thời gian nhất là JDBC URL trong tài liệu cần bỏ dấu ngoặc đơn và extension pg_trgm của PostgreSQL phải được allow-listed qua tham số azure.extensions trên Azure Database. Sau khi nâng cấp, các rule notification bị vô hiệu hóa và thông tin credentials cho repository/analyzer cần được nhập lại trong secret manager của phiên bản v5.

Bài chia sẻ này cung cấp bài học thực tế quan trọng về những điểm cần lưu ý khi nâng cấp Dependency Track từ v4 lên v5, giúp lập trình viên tránh được các lỗi phổ biến và tiết kiệm thời gian.

Inside the OpenSSF Summer Mentorship Showcase: How Emerging Developers Are Strengthening Supply Chain Security – Open Source Security Foundation

OpenSSF's Summer Mentorship Showcase highlighted projects built by mentees across several supply chain security tools. Contributions include role-specific online signing keys for RSTUF to limit key-compromise blast radius, an RSTUF Metadata Visualizer that makes TUF cryptographic metadata human-readable, TUI improvements to gittuf for easier policy inspection, new test suites and a GitHub Action for Minder rule validation, and enhancements to SBOMit's attestation pipeline (go-witness) and SBOM generation via Trivy/Syft integration. Mentees also shared advice for future contributors: read specs before code, communicate early with mentors, and embrace code review.

Proactive Defense: Hardening Code Pipelines and CI/CD Infrastructure

Bối cảnh bảo mật ngày càng quan trọng trong các pipeline và CI/CD infrastructure khi số lượng tấn công tăng cao. Nguyên nhân kỹ thuật chính là thiếu các kiểm tra tự động và cơ chế hardening tự động, dẫn đến nhiều lỗ hổng bảo mật tồn tại qua các stage development. Hệ quả là các tổ chức phải đối mặt với rủi ro breached và downtime đáng kể, ví dụ như 80% breach liên quan đến code pipeline theo khảo sát của Sonatype. Điều đáng học là cần triển khai các công cụ như Snyk, Checkov và các policy kiểm soát để hardening tự động, kết hợp với các bài hardening của CIS Benchmarks để giảm thiểu rủi ro hiệu quả.

Bài viết này cung cấp lộ trình chi tiết để bảo vệ quy trình phát triển phần mềm và cơ sở hạ tầng CI/CD khỏi các mối đe dọa bảo mật ngày càng gia tăng.

Why are SBOMs failing to stop supply chain attacks?

SBOM đang được kỳ vọng có thể ngăn chặn phần lớn các cuộc tấn công chuỗi cung ứng nhưng vẫn chưa được áp dụng rộng rãi. Nguyên nhân chính là do các công cụ hiện tại như Dependency-Track hay CycloneDX vẫn gặp khó khăn trong việc tích hợp liền mạch vào các quy trình CI/CD hiện có. Hệ quả là chỉ có khoảng 37% các doanh nghiệp sử dụng SBOM hiệu quả, theo báo cáo của Synopsys 2023. Bài viết đáng học vì nó đề xuất các giải pháp kỹ thuật cụ thể như sử dụng SPDX và nền tảng OpenBOM để tăng hiệu suất phân tích lên 60% và giảm 45% thời gian tích hợp.

Bài này giúp bạn hiểu tại sao SBOM chưa phát huy hiệu quả trong ngăn chặn tấn công chuỗi cung cấp dù tiềm năng lớn.

CRA Reporting Is Live: What Manufacturers, Vendors, and Distributors Need to Know

EU Cyber Resilience Act (CRA) có hiệu lực từ ngày 11 tháng 9 năm 2026, yêu cầu nhà sản xuất phải báo cáo với ENISA trong vòng 24 giờ khi phát hiện lỗ hổng đang bị khai thác trong sản phẩm của mình, với báo cáo giảm thiểu trong 72 giờ và phân tích đầy đủ trong hai tuần. Phạt vi phạm có thể lên tới 2.5% doanh thu toàn cầu hoặc 15 triệu Euro, nhưng ENISA làm rõ nghĩa vụ chỉ áp dụng cho lỗ hổng trong sản phẩm của nhà sản xuất chứ không phải trong chuỗi cung ứng. Bài viết đề cập đến việc cần giám sát liên tục tự động, sử dụng CVSS v4 để đánh giá và SBOM trong chuỗi cung ứng, với AI có thể vừa là diện tấn công vừa công cụ hỗ trợ đánh giá. Người đọc nên lưu ý các yêu cầu về vòng đời phát triển bảo mật an toàn vào tháng 12 năm 2027 và chỉ thị Trách nhiệm sản phẩm của EU.

Bài viết này giúp lập trình viên hiểu rõ các quy định mới về báo cáo lỗ hổng mạng của EU Cyber Resilience Act và cách thức tuân thủ trong vòng 24 giờ khi phát hiện lỗ hổng đang bị khai thác trong sản phẩm của mình.

Securing the Source: AI Velocity, CRA Compliance & Dependency Debt

Join ActiveState CEO Abby Kearns on What's in the SOSS? as she discusses the evolving open source security landscape, AI risks, and CRA compliance.