CycloneDX

Définition

CycloneDX est un standard SBOM (Software Bill of Materials) open source développé par l'OWASP Foundation, conçu avec un focus sur la sécurité et la chaîne d'approvisionnement logicielle. CycloneDX est l'un des deux formats de SBOM dominants (avec SPDX) et se distingue par son orientation sécurité native : il intègre nativement les données de vulnérabilités (VEX — Vulnerability Exploitability eXchange) et les attestations de sécurité directement dans le format, là où SPDX est davantage orienté conformité de licences. CycloneDX supporte plusieurs types de composants dans ses SBOMs : les bibliothèques logicielles (applications, bibliothèques, frameworks), les containers (images Docker, images OCI), les firmware (pour l'IoT et les systèmes embarqués), les composants matériels, et les services externes. Cette polyvalence fait de CycloneDX le format recommandé pour les SBOMs dans les environnements complexes avec des composants hétérogènes. La fonctionnalité VEX (Vulnerability Exploitability eXchange) de CycloneDX permet aux producteurs de logiciels de communiquer le statut d'exploitabilité des CVEs identifiées dans leurs composants : "CVE-2021-44228 (Log4Shell) est présent dans notre produit mais non exploitable car la fonctionnalité JNDI lookup est désactivée par configuration". Ces déclarations VEX permettent aux consommateurs de prioriser leurs remédiation en distinguant les CVEs théoriquement présentes des CVEs réellement exploitables. CycloneDX est supporté par un écosystème riche d'outils : Syft génère des SBOMs CycloneDX, Grype consomme des SBOMs CycloneDX pour l'analyse de vulnérabilités, Dependency-Track (OWASP) est une plateforme de gestion de SBOMs CycloneDX, et les principaux fournisseurs cloud (AWS Inspector, Azure Defender for DevOps) génèrent des SBOMs CycloneDX pour les ressources managées.