Software Bill of Materials
EPPlus Software stellt für jede EPPlus-Version ab Version 7.3 ein Software Bill of Materials (SBOM) bereit. Das SBOM listet alle in EPPlus enthaltenen Drittanbieterabhängigkeiten sowie deren Versionen, Lizenzen und Prüfsummen auf.
Alle SBOMs werden im CycloneDX-JSON-Format (Spezifikationsversion 1.6) bereitgestellt, mit SHA-256-Prüfsummen zur Verifikation. Wo verfügbar, erweitern Sie eine Zeile, um das SBOM für ein bestimmtes Zielframework herunterzuladen.
Derzeit sind keine SBOM-Dateien verfügbar.
API-Zugangs- und Formatinformationen
Jeder SBOM kann direkt über eine URL aufgerufen werden. Dies ist nützlich für automatisierte Tools und Pipelines, die SBOM-Daten verbrauchen.
Index aller Versionen
Ein maschinenlesbarer JSON-Index aller verfügbaren SBOM-Dateien, einschließlich Version, Veröffentlichungsdatum, Download-URL und SHA-256 Prüfsumme.
https://epplussoftware.com/security/sbom/all.jsonSpezifische Version
Gibt ein kombiniertes SBOM zurück, das Abhängigkeiten über alle Zielframeworks für die angegebene Version enthält.
https://epplussoftware.com/security/sbom/{version}.jsonSpezifische Version und Zielrahmen
Jedes SBOM ist auch pro Zielframework verfügbar, um mit Tools zu verwenden, die framework-spezifische Abhängigkeitsdaten benötigen.
https://epplussoftware.com/security/sbom/{version}/{tfm}.jsonNeueste veröffentlichte Version
https://epplussoftware.com/security/sbom/latest.jsonDas SBOM wird im JSON-Format CycloneDX , Spezifikationsversion 1.6, erstellt. Es umfasst alle NuGet-Abhängigkeiten mit Versionen, Lizenzen und SHA-512 Prüfsummen.
- SBOM (Software Bill of Materials)
- Eine strukturierte, maschinenlesbare Liste aller Drittanbieterkomponenten, die in einem Softwareprodukt enthalten sind – ähnlich einer Zutatenliste. SBOMs werden von Sicherheitsteams und automatisierten Tools verwendet, um bekannte Schwachstellen in den Abhängigkeiten eines Produkts zu identifizieren.
- Zielrahmen (TFM)
- EPPlus ist für mehrere .NET-Versionen gleichzeitig aufgebaut, wie net462 (.NET Framework 4.6.2), netstandard2.0, net8.0 und net9.0. Jedes dieser Frameworks wird als Ziel-Framework bezeichnet. Verschiedene Ziel-Frameworks können von unterschiedlichen NuGet-Paketen oder Paketversionen abhängen, weshalb pro TFM-SBOMs präzisere Abhängigkeitsinformationen liefern können als ein kombiniertes SBOM.
- CycloneDX
- Ein offener SBOM-Standard, der von der OWASP Foundation gepflegt wird und breit durch Sicherheitstools und Scanner unterstützt wird. CycloneDX definiert ein strukturiertes JSON- (oder XML-)Format zur Beschreibung von Softwarekomponenten und deren Beziehungen. EPPlus SBOMs verwenden das CycloneDX JSON-Format, Spezifikationsversion 1.6. cyclonedx.org
- SHA-256 Prüfsumme
- Ein kryptografischer Fingerabdruck einer Datei. Indem Sie die Kontrollsumme eines heruntergeladenen SBOM mit dem hier aufgeführten Wert vergleichen, können Sie überprüfen, dass die Datei während des Versands nicht manipuliert oder beschädigt wurde.
- CVE (Häufige Schwachstellen und Gefährden)
- Eine standardisierte Kennung für eine öffentlich bekannte Sicherheitslücke, z. B. CVE-2024-12345. CVE-Kennungen werden von MITRE zugewiesen und in Schwachstellendatenbanken wie der National Vulnerability Database (NVD) referenziert. Sicherheitsscanner verwenden die in einem SBOM aufgeführten Komponenten, um bekannte CVEs zu überprüfen.