VEX - Vulnerability Exploitability eXchange

Format zur Aussage über die tatsächliche Ausnutzbarkeit einer Schwachstelle

Lesezeit: 2 Min.

Was bedeutet VEX?

VEX ist ein Format, mit dem ein Hersteller angibt, ob eine Schwachstelle in einer verbauten Komponente sein Produkt tatsächlich betrifft oder nicht ausnutzbar ist.

Vulnerability Exploitability eXchange (VEX) ist ein Format, meist als Profil von CSAF umgesetzt, mit dem ein Hersteller zu einer bekannten CVE in einer seiner Komponenten Stellung nimmt: betroffen, nicht betroffen, bereits behoben oder es wird noch untersucht, jeweils mit Begründung.

Der Hintergrund: Eine SBOM listet nur, welche Komponenten in welcher Version verbaut sind. Ob eine neue Schwachstelle in einer dieser Komponenten das Produkt tatsächlich angreifbar macht, hängt davon ab, wie die Komponente genutzt wird. Das beantwortet erst VEX. Die BSI TR-03183-2 zieht hier eine klare Grenze: Eine SBOM darf keine Schwachstelleninformationen enthalten, weil SBOM-Daten statisch sind, Schwachstelleninformationen sich aber laufend ändern. Für den dynamischen Teil ist VEX zuständig.

Warum eine SBOM allein nicht reicht

Eine SBOM beantwortet „Was ist verbaut?", nicht „Bin ich betroffen?". Wird beispielsweise eine Schwachstelle in einer TLS-Bibliothek bekannt, die ein Produkt zwar einbindet, aber nur für eine ungenutzte Funktion, dann taucht die Komponente zwar in der SBOM auf, das Produkt ist aber nicht tatsächlich angreifbar. VEX macht diese Einschätzung explizit und maschinenlesbar, statt sie in Freitext-Advisories zu verstecken.

VEX und die Trennung von SBOM und Schwachstellendaten

Nach BSI TR-03183-2 ist eine SBOM für eine gegebene Softwareversion statisch, während Schwachstelleninformationen sich mit jeder neuen CVE ändern. Würde man beides vermischen, müsste die komplette SBOM bei jeder neuen Schwachstelle erneut durch die Lieferkette verteilt werden. Die Trennung (SBOM für die Inventarliste, VEX/CSAF für den Schwachstellenstatus) hält beide Datenströme unabhängig voneinander aktuell.

Nutzen für Abnehmer

Wer viele Produkte im Einsatz hat, kann VEX-Dokumente automatisiert mit Schwachstellen-Scannern abgleichen und so „nicht betroffen"-Fälle aus der Priorisierung herausfiltern, statt jede gemeldete CVE manuell zu prüfen.

Praxis-Tool

Prüfe deine Pflicht zur Offenlegung behobener Schwachstellen (Anhang I Teil II Nr. 4)

Zum CRA-Produktanforderungen →

Auch bekannt als

Vulnerability Exploitability eXchange · VEX-Dokument · CSAF VEX-Profil

Teil des Themenbereichs: Schwachstellen managen

Quellen

Zuletzt aktualisiert: 2026-08-13

Häufige Fragen zu VEX

Ist VEX Pflicht nach dem Cyber Resilience Act?

Der CRA schreibt VEX nicht wörtlich vor, verlangt aber die öffentliche Offenlegung behobener Schwachstellen mit Angaben zu Auswirkung und Betroffenheit (Anhang I Teil II Nr. 4), inhaltlich genau das, was VEX strukturiert leistet. CSAF mit VEX-Profil ist der praktische Standardweg, das umzusetzen.

Darf eine SBOM Schwachstelleninformationen enthalten?

Nach BSI TR-03183-2 nicht. Eine konforme SBOM beschreibt nur die verbauten Komponenten; der Schwachstellenstatus gehört in ein separates VEX- bzw. CSAF-Dokument.