VEX
Vulnerability Exploitability eXchange。SBOMに含まれるCVEが「自社製品には当てはまらない/修正済み/調査中」であることを、ベンダーが機械可読な形で表明する仕組み。CVEスキャナの誤検知を減らす。
動機はこうだ。SBOMには推移的依存を含むすべてのコードが載るため、CVEスキャナは一致するたびに警告を出す。だが実際には、脆弱な関数を自分のコードが呼んでいないことも多い。VEXなら「not_affected(脆弱な関数は使われていない)」と宣言できる。ステータスはnot_affected、affected、fixed、under_investigationの4種。形式はCSAF(OASIS、XML/JSON)、OpenVEX(CNCF、最小限のJSON)、CycloneDX埋め込みなど。現代のSCAツールは、これを使って「起こりうる」露出と「実際の」露出を区別する。