透過 SBOM 標記內含過時函式庫的韌體映像

供應鏈攻擊的威脅日益嚴峻：本日摘報描述 FakeGit 攻擊以約 7,600 個偽造的 GitHub 存放庫散布惡意軟體，以及利用易受攻擊框架觸及 AI 模型檔案的 ENCFORGE 勒索軟體。嵌入式韌體也呈現相同風險——一個悄然搭載過時函式庫的裝置映像，一旦漏洞利用逐漸成熟便會成為下手目標。本示範掃描良性韌體樣本，以找出深藏於映像中的已知弱元件。SBOM 模組會為韌體（bin/img）產生軟體物料清單，列舉其中每個打包的函式庫，並將元件與漏洞資料比對。部署前即標記出過時的函式庫，使版本暴露的風險清晰可見並能採取行動，而非在未被察覺的情況下出貨。