Perfil de seguridad

EPPlus es una biblioteca de clases .NET para el procesamiento de hojas de cálculo en formato Office Open XML. Se distribuye como un paquete NuGet que contiene ensamblajes firmados para múltiples frameworks .NET destino y está destinada a usarse como componente dentro de aplicaciones creadas por el cliente.

How EPPlus runs

EPPlus no tiene un tiempo de ejecución propio. Es una biblioteca que se carga en el proceso de una aplicación anfitriona y se ejecuta íntegramente dentro de ese proceso. Esto tiene las siguientes consecuencias para su perfil de seguridad:

  • EPPlus no se ejecuta en un proceso propio. Se ejecuta como código en proceso dentro de la aplicación que lo referencia.
  • EPPlus no gestiona su propia base de datos ni almacenamiento persistente. Cualquier manejo de archivos o datos se realiza en nombre de la aplicación anfitriona.
  • EPPlus no inicia ninguna actividad de red propia — ni telemetría, ni comprobaciones de licencias, ni actualizaciones ni "teléfono-hogar" — y no requiere acceso a la red para funcionar. Todas las entradas/salidas de archivos de hoja de cálculo son locales al proceso anfitrión. La única excepción es invocada por el anfitrión: la función IMAGE() puede obtener una imagen sobre HTTPS cuando la aplicación anfitriona calcula fórmulas, a través de un servicio que el anfitrión puede restringir o desactivar.
  • EPPlus has no authentication or authorization mechanism. It does not identify users, issue credentials, or control access.
  • EPPlus no tiene infraestructura propia — ni servidores, ni servicios en la nube, ni endpoints alojados.
  • Las pruebas de penetración solo tienen sentido en el contexto de una aplicación anfitriona, porque EPPlus no exponen tiempo de ejecución independiente ni superficie de red de escucha o entrada. Las pruebas de seguridad significativas se realizan a nivel de la aplicación anfitriona que utiliza EPPlus.

Qué significa esto para las evaluaciones de seguridad

Muchos cuestionarios de seguridad estándar están diseñados para productos SaaS o servicios de red. Las preguntas sobre configuración TLS, registro de accesos, provisión de usuarios, endurecimiento de infraestructura, monitorización en tiempo de ejecución o almacenamiento de datos no se aplican a EPPlus, porque EPPlus no proporciona ninguna de esas superficies.

Las preocupaciones de seguridad que sí se aplican a EPPlus se abordan en otras secciones de este sitio:

  • Integridad de la liberación — consulte Firma de Código para verificar que una liberación no ha sido manipulada.
  • Dependency integrity — see the Software Bill of Materials for the full component inventory of each release.
  • Vulnerabilidades conocidas — véase Divulgaciones de vulnerabilidades para los problemas divulgados y nuestras evaluaciones.
  • Informes y respuestas — consulte nuestra Política de Divulgación de Vulnerabilidades para saber cómo informar de un problema de seguridad, nuestro proceso coordinado de divulgación, objetivos internos de respuesta y obligaciones de reporte según el Artículo 14 de la CRA a CERT-SE y ENISA.
  • Procesamiento de entrada no confiable — véase consideraciones de seguridad al calcular fórmulas para las implicaciones de seguridad de calcular fórmulas en libros de trabajo a partir de fuentes no confiables y los controles disponibles para la aplicación anfitriona.

Prácticas de desarrollo seguras

EPPlus se desarrolla bajo un conjunto de prácticas destinadas a detectar defectos — incluidos los defectos relevantes para la seguridad — a tiempo:

  • All code changes are made through pull requests and must be reviewed and approved by another member of the EPPlus team before being merged. This process is public and takes place in the EPPlus GitHub repository.
  • Cada cambio pasa por miles de pruebas unitarias como parte de nuestra cadena CI/CD antes del lanzamiento.
  • El código fuente se analiza en cada impulso por GitHub CodeQL. Consulta Escaneo del código fuente para más detalles.
  • Las dependencias se analizan continuamente en busca de vulnerabilidades conocidas. Consulta Escaneo de vulnerabilidades para más detalles.

Límite de responsabilidad

Como EPPlus se ejecuta dentro del proceso de la aplicación anfitriona, la responsabilidad de la postura general de seguridad se comparte. EPPlus Software AB es responsable de lo que hay dentro de la biblioteca: la corrección del código, la integridad de los artefactos liberados y el manejo oportuno de las vulnerabilidades reportadas. La aplicación anfitriona es responsable de todo lo relacionado con la biblioteca: el entorno de ejecución, los usuarios que acceden a ella y los datos que se le pasan para su procesamiento.

Responsabilidades de la aplicación del host

  • Decidir si un archivo es confiable o no antes de pasarlo a EPPlus.
  • Applying resource limits (memory, CPU, processing time) at the process level.
  • Authenticating and authorizing users of the host application.
  • Operar la infraestructura sobre la que se ejecuta la aplicación anfitriona.
  • Aplicar controles apropiados al calcular fórmulas en cuadernos de trabajo no confiables o parcialmente confiables.

Responsabilidades AB de EPPlus Software

  • La corrección y seguridad del propio código de la biblioteca.
  • Manejo de archivos de entrada bien formados y malformados dentro de límites documentados, sin sandboxing ni aislamiento más allá de lo que proporciona la aplicación anfitriona.
  • Remediación oportuna de vulnerabilidades reportadas de acuerdo con nuestra Política de Divulgación de Vulnerabilidades.
  • Mantener la integridad de la cadena de suministro mediante la firma de códigos y SBOMs publicados.