Software Bill of Materials
EPPlus Software предоставляет Software Bill of Materials (SBOM) для каждого релиза EPPlus начиная с версии 7.3 и выше. SBOM содержит список всех сторонних зависимостей, включённых в EPPlus, а также их версии, лицензии и контрольные суммы.
Все SBOM предоставляются в формате CycloneDX JSON (спецификация версии 1.6), с суммами SHA-256 для проверки. При доступности расширяйте строку, чтобы скачать SBOM для конкретной целевой структуры.
В настоящее время файлы SBOM не доступны.
Информация о доступе API и форматах
К каждому SBOM можно получить доступ напрямую по URL. Это полезно для автоматизированных инструментов и конвейеров, потребляющих данные SBOM.
Индекс всех версий
Машиночитаемый индекс JSON всех доступных файлов SBOM, включая версию, дату выпуска, URL загрузки и контрольную сумму SHA-256 .
https://epplussoftware.com/security/sbom/all.jsonКонкретная версия
Возвращает комбинированный SBOM, содержащий зависимости между всеми целевыми фреймворками для указанной версии.
https://epplussoftware.com/security/sbom/{version}.jsonКонкретная версия и целевая структура
Каждый SBOM также доступен для каждого целевого фреймворка для использования с инструментами, требующими специфических для фреймворка данных зависимостей.
https://epplussoftware.com/security/sbom/{version}/{tfm}.jsonПоследняя опубликованная версия
https://epplussoftware.com/security/sbom/latest.jsonSBOM генерируется в формате JSON, CycloneDX спецификации версии 1.6. Он включает все зависимости NuGet с версиями, лицензиями и SHA-512 контрольными суммами.
- SBOM (Список материалов программного обеспечения)
- Структурированный, машиночитаемый список всех сторонних компонентов, включённых в программный продукт — похожий на список ингредиентов. SBOM используются командами безопасности и автоматизированными инструментами для выявления известных уязвимостей в зависимостях продукта.
- Целевой фреймворк (TFM)
- EPPlus создан для нескольких версий .NET одновременно, таких как net462 (.NET Framework 4.6.2), netstandard2.0, net8.0 и net9.0. Каждый из них называется целевым фреймворком. Разные целевые фреймворки могут зависеть от разных пакетов или версий пакетов NuGet, поэтому каждый TFM SBOM может предоставлять более точную информацию о зависимостях, чем объединённый SBOM.
- CycloneDX
- Открытый стандарт SBOM, поддерживаемый Фондом OWASP, широко поддерживаемый инструментами безопасности и сканерами. CycloneDX определяет структурированный формат JSON (или XML) для описания программных компонентов и их взаимосвязей. SBOM EPPlus используют формат CycloneDX JSON, спецификация версии 1.6. cyclonedx.org
- Контрольная сумма SHA-256
- Криптографический отпечаток файла. Сравнив контрольную сумму скачанного SBOM с указанным здесь значением, вы можете убедиться, что файл не был подделан или повреждён при передаче.
- CVE (Распространённые уязвимости и воздействия)
- Стандартизированный идентификатор публично известной уязвимости безопасности, например, CVE-2024-12345. Идентификаторы CVE присваиваются MITRE и ссылаются в базы данных уязвимостей, таких как Национальная база уязвимостей (NVD). Сканеры безопасности используют компоненты, указанные в SBOM, для проверки известных CVE.