En gestión de vulnerabilidades, el ruido de falsos positivos frena la respuesta. Vulnerability Exploitability eXchange (VEX) resuelve ese problema al indicar si una CVE es explotable en un producto y versión específicos, con base en declaraciones formales del proveedor. Así, VEX complementa el SBOM y acelera la priorización.

Definición de Vulnerability Exploitability eXchange (VEX)

VEX es un formato de asesoría de seguridad, legible por máquinas y humanos, que comunica el estado de explotabilidad de vulnerabilidades en componentes concretos de un producto. Su objetivo es decir, con evidencia y justificación, si un producto está «afectado», «no afectado», «arreglado» o «en investigación» frente a una CVE. VEX suele implementarse en perfiles como CSAF VEX y CycloneDX VEX y puede circular en JSON o XML, con soporte para firma y control de versiones.

Cómo funciona un VEX

1. Identificación precisa: referencia al producto, versión, build y componente afectados.
2. Vulnerabilidad: especificación por ID (CVE, GHSA) y metadatos relevantes.
3. Estado de explotabilidad: «afectado», «no afectado», «arreglado» o «en investigación».
4. Justificación técnica: razones típicas incluyen componente no presente, código vulnerable no ejecutable, configuración segura por defecto o mitigación compensatoria.
5. Acciones y cronograma: parches disponibles, mitigaciones, fechas de publicación y de revisión.
6. Autenticidad: firma y canal de distribución para asegurar integridad y procedencia.

Conclusión

Vulnerability Exploitability eXchange aporta señal donde antes había ruido. Al declarar la explotabilidad real de una CVE en un producto específico, VEX optimiza la gestión de vulnerabilidades, acelera decisiones y reduce costes operativos. Integrarlo junto a SBOM, CSAF o CycloneDX fortalece la higiene de seguridad y la respuesta ante incidentes.

Relacionado

• SBOM (Software Bill of Materials)
• CSAF (Common Security Advisory Framework)
• CVE (Common Vulnerabilities and Exposures)
• CVSS (Common Vulnerability Scoring System)