sbom-cve-check 1.3.2 and 1.3.3: improved SBOM handling and more robust CVE analysis – Bootlin

Bootlin's sbom-cve-check, công cụ giám sát CVE chính thức của Yocto Project, vừa phát hành bản 1.3.2 (tháng 6) và 1.3.3 (tháng 8). Phiên bản 1.3.2 nâng cấp hỗ trợ nén Zstandard, mở rộng các khóa YAML đơn giản trong annotation và sửa lỗi lọc cũng như phát hiện danh sách nguồn kernel Linux không đầy đủ. Phiên bản 1.3.3 bổ sung xử lý CVE umstritten để tạo đánh giá VEX “not affected”, cải thiện việc khớp phiên bản CVE bằng các toán tử so sánh, ranh giới ngày và các hậu tố đóng gói distro, đồng thời sửa lỗi cập nhật kho Git của cơ sở dữ liệu CVE và thêm hỗ trợ uv cùng hướng dẫn đóng góp mới. Những thay đổi này làm cho việc phân tích CVE trở nên đáng tin cậy hơn, giảm báo cáo falso positive và cho phép tạo ra các đánh giá VEX chính xác từ SBOM. Điều này nhắc nhở các nhà phát triển rằng việc thường xuyên cập nhật công cụ hỗ trợ các định dạng nén mới, xử lý CVE umstritten và linh hoạt trong matching phiên bản là chìa khóa để duy trì chất lượng an toàn phần mềm trong môi trường Yocto.