VEX による影響なしの通知
B 社は製品 P の SBOM を顧客に提供している。P に含まれるライブラリ L に重大な脆弱性が公表され，顧客から P への影響についての問合せが相次いだ。B 社が調査したところ，P では L の脆弱なコードが読み込まれず，悪用できないことが分かった。顧客が脆弱性の調査に費やす手間を減らすための B 社の対応として，最も適切なものはどれか。
- アP がこの脆弱性の影響を受けない（Not affected）ことを示す VEX を機械可読な形式で発行し，顧客が SBOM の情報と組み合わせて判断できるようにする。
- イSBOM から L の記載を削除した版を再発行し，顧客の脆弱性管理ツールで L の脆弱性が検出されないようにする。
- ウP におけるこの脆弱性の CVSS 基本値を 0.0 として算出し直して公表し，対応が不要であることを示す。
- エこの脆弱性の CVE を採番した組織に依頼し，CVE の記録から L の脆弱性に関する記述を削除してもらう。
正解と解説を見る
正解 ア
この問題の基礎知識
- SBOM（ソフトウェア部品表）は，製品に含まれるコンポーネントとその供給関係を記録した一覧であり，脆弱性が公表されたときに影響を受ける製品を特定するのに使われる。
- VEX は，製品が特定の脆弱性の影響を受けるかどうか（影響なし，影響あり，修正済み，調査中など）を機械可読な形式で表明する仕組みであり，SBOM と組み合わせて使う。
- CVE は脆弱性そのものに付ける識別子であり，CVSS の基本評価基準は環境に依存しない脆弱性の特性を表す。製品ごとや利用環境ごとの状況は，これらを変えずに別の手段で伝える。
アP がこの脆弱性の影響を受けない（Not affected）ことを示す VEX を機械可読な形式で発行し，顧客が SBOM の情報と組み合わせて判断できるようにする。正解
VEX は，特定の製品が含まれるコンポーネントの脆弱性の影響を受けるかを示す表明である。機械可読なので，顧客は SBOM と組み合わせて自動的に状況を把握でき，悪用できない脆弱性の調査を省ける。
イSBOM から L の記載を削除した版を再発行し，顧客の脆弱性管理ツールで L の脆弱性が検出されないようにする。
SBOM は製品に実際に含まれるコンポーネントを示すものであり，含まれている L を削除すると構成情報が不正確になる。将来 L に別の脆弱性が公表されたときに，影響範囲を特定できなくなる。
ウP におけるこの脆弱性の CVSS 基本値を 0.0 として算出し直して公表し，対応が不要であることを示す。
CVSS の基本評価基準は，時間や利用環境によって変わらない脆弱性そのものの特性を表す。製品ごとに基本値を 0.0 に変えることはできず，製品が影響を受けないことを伝える手段ではない。
エこの脆弱性の CVE を採番した組織に依頼し，CVE の記録から L の脆弱性に関する記述を削除してもらう。
CVE は脆弱性そのものを識別するものであり，L の脆弱性は他の製品には影響し得る。P で悪用できないことは P の状態であり，CVE の記録を変えるのではなく，製品ごとの状態を示す VEX で伝える。
検証用の出典出典照合済み
NTIA Vulnerability-Exploitability eXchange (VEX) – An Overview ／ NTIA The Minimum Elements For a Software Bill of Materials (SBOM) ／ FIRST CVSS v3.1 Specification Document照合の根拠（4 件）
- ア（正解）: 悪用できない脆弱性の調査の手間を減らすために，供給者は製品ごとの状態を表明する VEX を発行できる
To reduce effort spent by users investigating non-exploitable vulnerabilities that don’t affect a software product, suppliers can issue a VEX. A VEX is an assertion about the status of a vulnerability in specific products.
NTIA Vulnerability-Exploitability eXchange (VEX) – An Overview · p.1（新しいタブで開きます） - ア（正解）: VEX は機械可読で，利用者は SBOM の情報と組み合わせて状況を把握できる（状態に Not affected がある）
Users can integrate component data from SBOMs with vulnerability status information from VEXes to provide an up-to-date view of the status of vulnerabilities.
NTIA Vulnerability-Exploitability eXchange (VEX) – An Overview · p.1（新しいタブで開きます） - イ（誤り）: SBOM はソフトウェアの構築に使われたコンポーネントの記録なので，含まれる L を削除すると不正確になる
An SBOM is a formal record containing the details and supply chain relationships of various components used in building software.
NTIA The Minimum Elements For a Software Bill of Materials (SBOM) · Executive Summary（新しいタブで開きます） - ウ（誤り）: 基本評価基準は環境によらず一定の脆弱性固有の特性であり，製品ごとに 0.0 に変えるものではない
The Base metric group represents the intrinsic characteristics of a vulnerability that are constant over time and across user environments.
FIRST CVSS v3.1 Specification Document · Section 1.1（新しいタブで開きます）
エ（CVE 記録の削除）は，VEX が「specific products」における状態を表明する仕組みであることから，製品固有の状態を伝えるのに脆弱性そのものの識別子を変える必要はないと排除される。