Що блокує доставку — досяжна, нефіксована, релевантна для політики експозиція першими.

Робочий набір

Сім знахідок потрапляють до робочого набору на екрані нижче. Один блокує: він доступний і невиправлений. Інші шість не фіксовані, але не показані як доступні — вони залишаються в наборі, ранжуються нижче, ніколи не приховані.

Два рейтинги, один набір даних

Один і той самий робочий набір виконує дві роботи. Перемикання між ними змінює те, що піднімається зверху — нічого не входить і не виходить.

Звідки береться доказ

Статичний аналіз формує вердикт при кожному скануванні. Двійкові символи та факти виконання додають глибини, коли вона вам потрібна. CVE?Common Vulnerabilities and Exposures – унікальний ідентифікатор публічно відомої вразливості безпеки

Невідомі як першокласні Стан

Якщо аналіз не може визначити доступність, невизначеність відстежується явно — не приховується або мовчки вважається безпечною.

Де VEX оператори входять

Заяви VEX від видавців приєднуються до того самого графа доказів і нормалізуються до п’яти статусів — not_affected, affected, fixed, under_investigation, unknown — тож «у розслідуванні» — це стан із наслідками, а не примітка. VEX?Vulnerability Exploitability eXchange – машинозчитувані твердження про те, чи є вразливості реально експлуатованими у вашому контексті

Кілька емітентів можуть говорити про один і той самий компонент. Коли вони не погоджуються, для вирішення конфліктів фіксує розбіжності як конфлікт — нічого не усереднюється, і жоден емітент мовчки не виграє.

Як SBOM і VEX докази поєднуються →

KEV і EPSS беруть участь — вони не приймають рішення

Листинги CISA KEV та оцінки EPSS є сигналами експлойту на рівні порад. Вони підвищують ранг і терміновість результату всередині робочого набору. KEV?Known Exploited Vulnerabilities – каталог CISA активно експлуатованих вразливостей EPSS?Exploit Prediction Scoring System – ймовірнісна оцінка (0–100%), що передбачає ймовірність експлуатації вразливості

Exploit signals attach at the advisory level, not at the finding level. Open a CVE?Common Vulnerabilities and Exposures – унікальний ідентифікатор публічно відомої вразливості безпеки to read its advisory-level exploit data: the KEV?Known Exploited Vulnerabilities – каталог CISA активно експлуатованих вразливостей listing and the EPSS?Exploit Prediction Scoring System – ймовірнісна оцінка (0–100%), що передбачає ймовірність експлуатації вразливості score belong to the advisory, and they read the same for every service that carries the affected component.

У порівнянні зі сканером у CI

Сканер відповідає на питання «що зараз міститься в цьому образі». Це необхідно, але недостатньо для рішення щодо релізу.

Повні порівняння: Stella Ops проти Trivy | Stella Ops проти Grype

Перевіряється за опублікованою еталонною істиною

Класифікатор досяжності перевіряється за розміченим корпусом, що постачається в публічному дереві вихідного коду: вісім мінімальних сервісів на Java, Node.js, Python, Go, .NET, Ruby, Rust і PHP, кожен із файлом міток, який для кожного CVE задає очікуваний рівень — від R0, недосяжного в цьому сервісі, до R4, досяжного від точки входу, — та обґрунтування.

У тому ж дереві лежить інструмент, що оцінює класифікації за рівнями — точність і повнота, а не одне змішане число. Оскільки корпус, мітки й контракт рівнів публічні, вам не треба вірити нашому прочитанню: проскануйте ту саму еталонну істину власною інсталяцією й порівняйте її відповіді з опублікованими очікуваними.