Software Bill of Materials
A EPPlus Software fornece um Software Bill of Materials (SBOM) para cada versão EPPlus a partir da versão 7.3. O SBOM lista todas as dependências de terceiros incluídas no EPPlus, junto com suas versões, licenças e checksoms.
Todos os SBOMs são fornecidos no formato CycloneDX JSON (especificação versão 1.6), com checksums SHA-256 para verificação. Quando disponível, expanda uma linha para baixar o SBOM para um framework alvo específico.
Atualmente, não há arquivos SBOM disponíveis.
Acesso à API e informações de formato
Cada SBOM pode ser acessado diretamente via URL. Isso é útil para ferramentas automatizadas e pipelines que consomem dados do STEM.
Índice de todas as versões
Um índice JSON legível por máquina de todos os arquivos SBOM disponíveis, incluindo versão, data de lançamento, URL de download e SHA-256 soma de verificação.
https://epplussoftware.com/security/sbom/all.jsonVersão específica
Retorna um SBOM combinado contendo dependências em todos os frameworks de destino para a versão especificada.
https://epplussoftware.com/security/sbom/{version}.jsonVersão específica e framework de destino
Cada SBOM também está disponível por framework alvo, para uso com ferramentas que necessitam de dados de dependência específicos do framework.
https://epplussoftware.com/security/sbom/{version}/{tfm}.jsonÚltima versão publicada
https://epplussoftware.com/security/sbom/latest.jsonO SBOM é gerado em CycloneDX formato JSON, especificação versão 1.6. Inclui todas as dependências do NuGet com versões, licenças e SHA-512 checksoms.
- SBOM (Lista de Materiais de Software)
- Uma lista estruturada e legível por máquina de todos os componentes de terceiros incluídos em um produto de software — semelhante a uma lista de ingredientes. SBOMs são usados por equipes de segurança e ferramentas automatizadas para identificar vulnerabilidades conhecidas nas dependências de um produto.
- Estrutura de Alvo (TFM)
- EPPlus é construído para múltiplas versões do .NET simultaneamente, como net462 (.NET Framework 4.6.2), netstandard2.0, net8.0 e net9.0. Cada um desses é chamado de framework alvo. Diferentes frameworks de destino podem depender de diferentes pacotes ou versões de pacotes NuGet, razão pela qual SBOMs por TFM podem fornecer informações de dependência mais precisas do que um SBOM combinado.
- CycloneDX
- Um padrão SBOM aberto mantido pela OWASP Foundation, amplamente suportado por ferramentas de segurança e scanners. CycloneDX define um formato JSON (ou XML) estruturado para descrever componentes de software e suas relações. SBOMs EPPlus utilizam o formato JSON CycloneDX, especificação versão 1.6. cyclonedx.org
- Soma de verificação SHA-256
- Uma impressão digital criptográfica de um arquivo. Ao comparar a soma de verificação de um SBOM baixado com o valor listado aqui, você pode verificar se o arquivo não foi adulterado ou corrompido durante o trânsito.
- CVE (Vulnerabilidades e Exposições Comuns)
- Um identificador padronizado para uma vulnerabilidade de segurança publicamente conhecida, por exemplo, CVE-2024-12345. Identificadores CVE são atribuídos pelo MITRE e referenciados em bancos de dados de vulnerabilidades, como o National Vulnerability Database (NVD). Scanners de segurança utilizam os componentes listados em um SBOM para verificar CVEs conhecidos.