Security
Software Bill of Materials

Software Bill of Materials

EPPlus Software proporciona un Software Bill of Materials (SBOM) para cada versión de EPPlus desde la versión 7.3 en adelante. El SBOM lista todas las dependencias de terceros incluidas en EPPlus, junto con sus versiones, licencias y sumas de comprobación.

Todos los SBOM se proporcionan en formato JSON CycloneDX (especificación versión 1.6), con sumas de comprobación SHA-256 para verificación. Cuando esté disponible, amplía una fila para descargar el SBOM de un marco objetivo específico.

Actualmente no hay archivos SBOM disponibles.

Acceso a la API e información de formato

URLs
Formato
Glosario

Cada SBOM puede accederse directamente mediante una URL. Esto es útil para herramientas automatizadas y pipelines que consumen datos de STEM.

Índice de todas las versiones

Un índice JSON legible por máquina de todos los archivos SBOM disponibles, incluyendo versión, fecha de lanzamiento, URL de descarga y suma de verificación SHA-256 .

https://epplussoftware.com/security/sbom/all.json

Versión específica

Devuelve un SBOM combinado que contiene dependencias entre todos los frameworks destino para la versión especificada.

https://epplussoftware.com/security/sbom/{version}.json

Versión específica y marco objetivo

Cada SBOM también está disponible por framework objetivo, para su uso con herramientas que requieren datos de dependencias específicos del framework.

https://epplussoftware.com/security/sbom/{version}/{tfm}.json

Última versión publicada

https://epplussoftware.com/security/sbom/latest.json

El SBOM se genera en formato JSON, especificación versión 1.6 CycloneDX de la descripción. Incluye todas las dependencias de NuGet con versiones, licencias y sumas de comprobación SHA-512 .

cyclonedx.org

SBOM (Lista de Materiales de Software): Una lista estructurada y legible por máquina de todos los componentes de terceros incluidos en un producto de software — similar a una lista de ingredientes. Los SBOM son utilizados por equipos de seguridad y herramientas automatizadas para identificar vulnerabilidades conocidas en las dependencias de un producto.
Marco de Objetivos (TFM): EPPlus está diseñado para múltiples versiones de .NET simultáneamente, como net462 (.NET Framework 4.6.2), netstandard2.0, net8.0 y net9.0. Cada uno de estos se denomina framework objetivo. Diferentes frameworks objetivo pueden depender de diferentes paquetes o versiones de NuGet, por lo que los SBOM por TFM pueden proporcionar información de dependencias más precisa que un SBOM combinado.
CycloneDX: Un estándar SBOM abierto mantenido por la Fundación OWASP, ampliamente apoyado por herramientas de seguridad y escáneres. CycloneDX define un formato JSON estructurado (o XML) para describir componentes de software y sus relaciones. Los SBOM de EPPlus utilizan el formato JSON de CycloneDX, especificación versión 1.6. cyclonedx.org
Suma de comprobación SHA-256: Una huella criptográfica de un archivo. Comparando la suma de comprobación de un SBOM descargado con el valor aquí indicado, puedes verificar que el archivo no ha sido manipulado ni dañado durante el tránsito.
CVE (Vulnerabilidades y Exposiciones Comunes): Un identificador estandarizado para una vulnerabilidad de seguridad públicamente conocida, por ejemplo, CVE-2024-12345. Los identificadores CVE son asignados por MITRE y referenciados en bases de datos de vulnerabilidades como la National Vulnerability Database (NVD). Los escáneres de seguridad utilizan los componentes listados en un SBOM para comprobar si hay CVE conocidos.

Software Bill of Materials

Modal Heading