Podatność ma inny status w różnych wydaniach
Release jest brakującym ogniwem pomiędzy produktem, SBOM, podatnością, poprawką i dowodami dostarczenia aktualizacji.
Release jest osią procesu dowodowego
- identyfikuje wdrożoną wersję produktu
- wiąże jeden lub więcej kontrolowanych snapshotów SBOM
- ustala listę component occurrences
- przenosi human assessments dla tej wersji
- wskazuje fixed release i dystrybucję aktualizacji
- łączy dokumentację techniczną oraz evidence
Przykład: CVE X w wersji 1.0 i 1.1
| Release | SBOM | Komponent | Assessment | Evidence |
|---|---|---|---|---|
| 1.0 | snapshot A | library 4.2 | AFFECTED | triage, plan poprawki, test reprodukcyjny |
| 1.1 | snapshot B | library 4.3 | FIXED | commit lub zmiana, test regresji, release note |
Snapshotów i historii nie nadpisuj
Zmiana pliku SBOM dla istniejącego release'u powinna tworzyć następną wersję lub jawnie wskazany replacement z predecessor lineage. To samo dotyczy assessmentu i VEX. Audyt musi zachować pierwotne bajty, checksum, autora, czas oraz powód zastąpienia.
FIXED potrzebuje konkretnego wydania
Status FIXED bez identyfikatora release'u nie mówi, którzy użytkownicy otrzymali poprawkę ani czy wspierane wersje są nadal dotknięte. Powiąż decyzję z wersją, testami, datą dostępności aktualizacji i – jeżeli jest monitorowana – dystrybucją poprawki.
Release pomaga w Article 14, ale nie rozstrzyga triggera
Identyfikacja dotkniętych wersji, produktów i państw może być potrzebna w workflow raportowym. Nadal jednak nie wolno wyprowadzać obowiązku zgłoszenia wyłącznie z obecności CVE albo statusu AFFECTED; wymagany jest osobny przegląd przesłanek Article 14.
Product Releases i CRA – FAQ
Czy jeden SBOM może opisywać wszystkie wersje produktu?
Jeden stale aktualizowany SBOM utrudnia ustalenie historycznej zawartości wydań. Praktycznie każdy release powinien mieć kontrolowany snapshot, a replacement powinien zachować poprzednią wersję i lineage.
Kiedy można oznaczyć podatność jako FIXED?
Gdy istnieje wskazany release zawierający poprawkę lub skuteczną zmianę, a decyzję wspierają odpowiednie testy i evidence. Nie oznacza to automatycznie, że wszystkie wcześniejsze wydania przestały być używane.
Oficjalne źródła
Podstawa materiału została sprawdzona 1 września 2026.