Сбой в SBOM: обнаружена критическая ошибка в инструменте анализа уязвимостей Minefield

Проблема была обнаружена при попытке возобновить разработку Minefield под новым именем Sapper. Это произошло на фоне ужесточения требований к кибербезопасности: с 11 сентября 2026 года вступает в силу Cyber Resilience Act, обязывающий компании сообщать об эксплуатируемых уязвимостях в течение 24 часов. В связи с этим возросла актуальность инструментов для быстрого выявления слабых мест в продуктах.

Разработчик, взявшийся за доработку Minefield, выяснил, что ранее проект использовал граф зависимостей SBOM, построенный в обратном порядке. Кроме того, обработка псевдоверсий языка программирования Go приводила к ложному определению всех версий как уязвимых, независимо от их реального статуса. Эти ошибки могли ввести в заблуждение компании, использующие Minefield для оценки защищённости своих продуктов.

Исправление данных недочётов в Sapper позволит организациям более точно определять, какие продукты содержат критические уязвимости, и оперативно принимать меры. Это особенно важно для соблюдения новых регуляторных требований и минимизации рисков кибератак.

Проект Sapper теперь включает отчётность с приоритетами, основанными на списках уязвимостей CISA KEV (Known Exploited Vulnerabilities) и EPSS (Exploit Prediction Scoring System), что помогает определить наиболее опасные угрозы и сосредоточиться на их устранении в первую очередь.