Glossar: Open Source, SBOM und Schwachstellen.

Kurze Definitionen der Begriffe, die in Kundenanforderungen, Audits und im Cyber Resilience Act regelmäßig auftauchen.

Abhängigkeit (direkt, transitiv)

Eine Komponente, die Ihre Software zum Bauen oder Ausführen benötigt; transitiv heißt, sie wird nicht von Ihnen, sondern von einer anderen Abhängigkeit eingebunden. SBOM →

Backport

Übertragung einer Korrektur aus einer neueren Version auf eine ältere, noch genutzte Version derselben Software.

Copyleft

Lizenzprinzip, nach dem abgeleitete Werke unter denselben Bedingungen weitergegeben werden müssen, etwa bei GPL (stark) oder LGPL und MPL (schwächer, je nach Art der Verknüpfung). GOVERNANCE →

CSAF

Common Security Advisory Framework: maschinenlesbares OASIS-Format für Sicherheitshinweise, das auch VEX-Aussagen transportieren kann. TRIAGE →

CVE

Eindeutige Kennung einer öffentlich bekannten Schwachstelle, zum Beispiel CVE-2021-44228.

CVSS

Common Vulnerability Scoring System von FIRST: bewertet den technischen Schweregrad einer Schwachstelle auf einer Skala von 0,0 bis 10,0, aktuell in Version 4.0. TRIAGE →

Cyber Resilience Act (CRA)

EU-Verordnung 2024/2847 mit Cybersicherheitsanforderungen an Produkte mit digitalen Elementen, einschließlich Schwachstellenbehandlung und SBOM. CRA →

CycloneDX

Verbreitetes, maschinenlesbares Format für SBOMs und verwandte Stücklisten, als ECMA-424 standardisiert. SBOM →

Downstream

Alles, was eine Open-Source-Komponente weiterverwendet, etwa Distributionen, Produkte oder interne Forks.

EPSS

Exploit Prediction Scoring System von FIRST: schätzt die Wahrscheinlichkeit, dass eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird. TRIAGE →

KEV

Known Exploited Vulnerabilities: Katalog der US-Behörde CISA mit Schwachstellen, deren aktive Ausnutzung belegt ist. TRIAGE →

Maintainer

Person oder Team, das ein Open-Source-Projekt pflegt und über Änderungen, Releases und Korrekturen entscheidet.

OpenChain

Projekt der Linux Foundation hinter den Normen ISO/IEC 5230 (Lizenz-Compliance-Programm) und ISO/IEC 18974 (Security-Assurance-Programm für Open Source). GOVERNANCE →

OSPO

Open Source Program Office: Funktion in einer Organisation, die Nutzung, Beiträge und Regeln rund um Open Source koordiniert. GOVERNANCE →

Patch

Änderung am Quellcode, die einen Fehler oder eine Schwachstelle behebt; ob ein Patch für die eingesetzte Version existiert, ist eine eigene Frage. TRIAGE →

Permissive Lizenz

Lizenz mit wenigen Pflichten, meist Hinweis- und Lizenztextweitergabe, etwa MIT, BSD oder Apache-2.0. GOVERNANCE →

SBOM

Software Bill of Materials: maschinenlesbare Stückliste der Komponenten und Abhängigkeiten einer Software. SBOM →

SPDX

Software Package Data Exchange: Format für SBOMs und Lizenzinformationen, als ISO/IEC 5962 standardisiert; liefert auch die einheitlichen Lizenzkennungen. SBOM →

Triage

Strukturierte Bewertung eines Schwachstellenbefunds: Ist das Produkt betroffen, wie dringend ist es, was wird entschieden und dokumentiert. TRIAGE →

Upstream

Das ursprüngliche Open-Source-Projekt, aus dem eine Komponente stammt und in dem Korrekturen offiziell entstehen.

VEX

Vulnerability Exploitability eXchange: maschinenlesbare Aussage, ob ein Produkt von einer bekannten Schwachstelle betroffen ist, etwa not_affected, affected, fixed oder under_investigation. TRIAGE →