Digital Sovereignty Assessment & Governance ToolkitHackathon Toscana 2026 · Sfida 1

ANALISI SBOM & CVE

Scopri la copertura
delle tue analisi

Confronta il tuo SBOM e la lista di vulnerabilità rilevate con i report relativi all’immagine di riferimento installata su FRDM i.MX 93.

Apri il pannello di analisi Scopri i formati accettati ↓

COME FUNZIONA

Dall’analisi alla verifica della copertura in tre passaggi.

  1. 01

    Prepara il tuo report

    Utilizza il tuo strumento di analisi SBOM e CVE per generare dei report JSON contenenti informazioni relative al root filesystem installato sulla scheda. Quest'ultimo può essere anche scaricato dal link nel riquadro Software attualmente installato sulla scheda.

  2. 02

    Scegli il confronto

    Apri il pannello, seleziona Copertura SBOM oppure Analisi CVE e carica il file JSON (fino a 150 MB). Quindi seleziona Confronta con il riferimento.

  3. 03

    Consulta la copertura

    Consulta la copertura dei pacchetti installati o delle vulnerabilità rilevate tramite i report ed esamina le corrispondenze evidenziate.
    I pacchetti e le CVE mancanti non vengono elencati.

GUIDA AGLI INPUT

Carica il tuo JSON nel formato più adatto.

Sono ammessi campi aggiuntivi. Gli esempi seguenti contengono i campi minimi necessari per il confronto.

Copertura SBOM

Ogni pacchetto deve avere un campo non vuoto name. I nomi distinguono maiuscole e minuscole. Le versioni sono facoltative; attiva Richiedi una corrispondenza esatta della versione per confrontare sia il nome sia la versione.

FormatoRaccoltaCampo della versione
SPDX 3@graph: nodi di tipo pacchettosoftware_packageVersion
SPDX 2packagesversionInfo
CycloneDXcomponents, anche annidativersion
Yoctopackageversion
JSON semplicepackages oppure un array al livello principaleversion
Esempio: struttura dei pacchetti SPDX 3
{
  "@graph": [
    {
      "type": "software_Package",
      "name": "abseil-cpp",
      "software_packageVersion": "20260107.1"
    }
  ]
}
Esempio: struttura JSON semplice
{
  "packages": [
    {
      "name": "acl",
      "version": "2.3.2"
    },
    {
      "name": "bash",
      "version": "5.2.37"
    }
  ]
}

Nel JSON semplice è sufficiente indicare il name di ogni pacchetto; version è facoltativa, salvo quando richiedi una corrispondenza esatta della versione.

Gli elementi di riferimento con lo stesso nome e la stessa versione vengono contati una sola volta. Senza il confronto delle versioni, un nome corrispondente copre tutte le versioni di riferimento di quel pacchetto.

Confronta una SBOM ↗

Analisi CVE

Carica un oggetto o un array JSON contenente identificativi CVE. Non sono richiesti uno schema o nomi di campo specifici. Nomi dei pacchetti, versioni, punteggi e stati sono facoltativi.

Gli identificativi seguono il formato CVE-YYYY-NNNN, con almeno quattro cifre nella parte finale. Vengono rilevati senza distinguere maiuscole e minuscole in tutte le stringhe e le chiavi, comprese descrizioni e collegamenti. Gli identificativi duplicati vengono contati una sola volta.

Esempio: struttura dell’analisi CVE Yocto
{
  "package": [
    {
      "name": "abseil-cpp",
      "issue": [
        { "id": "CVE-2025-0838" }
      ]
    }
  ]
}
Esempio: report CVE semplice
{
  "vulnerabilities": [
    { "id": "CVE-2025-0838" },
    { "id": "CVE-2009-4411" }
  ]
}

Un array al livello principale come ["CVE-2025-0838"] è ugualmente accettato. I risultati mostrano nomi dei pacchetti, stati e punteggi del riferimento.

Confronta le CVE rilevate ↗