VEX
Vulnerability Exploitability eXchange: een machineleesbaar formaat waarin de leverancier verklaart dat een CVE in zijn SBOM NIET van toepassing is, al is verholpen of nog wordt onderzocht. Snijdt valse positieven van CVE-scanners weg.
De aanleiding: een SBOM somt alle code op, inclusief transitieve afhankelijkheden, en de CVE-scanner slaat bij elke match aan. In werkelijkheid roept jouw code de kwetsbare functie vaak helemaal niet aan. Met VEX kan de leverancier stellen: "not_affected, de kwetsbare functie wordt niet gebruikt". Statuswaarden: not_affected, affected, fixed, under_investigation. Formaten: CSAF (OASIS, XML/JSON), OpenVEX (CNCF, minimale JSON) en ingebed CycloneDX. Helpt moderne SCA-tools onderscheid te maken tussen "mogelijke" en "daadwerkelijke" blootstelling.