EU-Compliance braucht mehr als einen generischen Scanner.
Der Cyber Resilience Act verpflichtet Hersteller, Produktkomponenten und Schwachstellen zu identifizieren und zu dokumentieren, Schwachstellen über den Supportzeitraum hinweg zu beheben und technische Dokumentation zu pflegen. Farion vereint transitive SBOMs, evidenzbasiertes VEX und Lizenzanalyse in einem Workflow, der für europäische Software-Teams gebaut ist.*
* Verordnung (EU) 2024/2847, Anhang I Teil II und Anhang VII.
Transitive SBOMs
Der gesamte Abhängigkeitsbaum – nicht nur Ihre direkten Abhängigkeiten.
VEX mit Begründung
Was wirklich ausnutzbar ist, mit Belegen – keine Findings-Liste.
Tiefe Lizenzprüfung
Der echte Lizenztext aus dem Code – kein Registry-Raten.
Generische Scanner-Ausgaben reichen nicht für CRA-taugliches Schwachstellen-Handling.
Eine Paketliste und eine CVE-Liste zeigen nicht, ob eine Komponente mit dem Produkt ausgeliefert wird, ob verwundbarer Code erreichbar ist oder warum eine Schwachstelle als betroffen oder nicht betroffen eingestuft werden kann. Farion überführt diese Signale in strukturierte Nachweise für Remediation und technische Dokumentation.
Sie hören bei der minimalen Abhängigkeitsliste auf
Der CRA verlangt ein SBOM, das mindestens die direkten Abhängigkeiten abdeckt. Das Auflösen des transitiven Abhängigkeitsbaums liefert das umfassendere Komponenteninventar, das nötig ist, um neu bekannt gewordene Schwachstellen über die gesamte Software-Lieferkette hinweg zu untersuchen.
Sie hören bei CVE-Listen auf
Reine Schwachstellenlisten liefern weder Erreichbarkeit noch anwendungsspezifische Ausnutzbarkeit noch eine Begründung für eine Betroffen-/Nicht-betroffen-Entscheidung.
Sie verlassen sich auf Registry-Lizenzmetadaten
Registry-Lizenzmetadaten können unvollständig oder falsch sein. Farion analysiert die mit der Abhängigkeit ausgelieferten Lizenzdateien und bewertet die daraus resultierenden Pflichten gegen die konfigurierte Richtlinie.
Entwickelt in Deutschland für europäische Software-Teams.
Farion wird in Berlin von Ingenieuren mit langjähriger Erfahrung im Aufbau von Cloud-Native-Plattformen, Security-Automatisierung und DevSecOps-Systemen in komplexen und regulierten Umgebungen entwickelt. Die Plattform wurde von Anfang an rund um europäische Anforderungen an Datenresidenz, Deployment und Nachweise konzipiert.
Die schwierigen Teile im Detail.
Die drei Fähigkeiten, die entscheiden, ob Ihr Compliance-Nachweis standhält.
Transitive SBOMs
Den gesamten Abhängigkeitsbaum inventarisieren, aufgelöst und erreichbar – exportiert als CycloneDX oder SPDX.
Der ganze Baum, nicht nur die Spitze
Jede transitive Abhängigkeit, die mit Ihrem Produkt ausgeliefert wird – aufgelöst und zugeordnet.
Reachability inklusive
Sehen Sie, welche Komponenten tatsächlich erreichbar sind – Ihr SBOM trägt Kontext, nicht nur Namen.
Abhängigkeiten
Risiko & Ausnutzung
Ökosystem & Lizenz
VEX mit Begründung & Ausnutzbarkeit
Ein belastbares Affected-/Not-affected-Urteil pro Schwachstelle – mit den Belegen dahinter.
Ausnutzbarkeit statt CVE-Zähler
Farion bewertet Erreichbarkeit und Datenfluss, um zu sagen, was in Ihrem Produkt wirklich ausnutzbar ist.
Nachvollziehbare Nachweise für die Audit-Prüfung
Jedes Urteil trägt seine Begründung – das Rohmaterial eines VEX-Statements.
KI-Analyse von Farion
CVE-2024-38816 (Path Traversal in Functional Endpoints von spring-webmvc) ist erreichbar: GET /files/** liefert statische Ressourcen über RouterFunctions.resources() aus einem FileSystemResource-Verzeichnis, und der Request-Pfad erreicht PathResourceLookupFunction ohne Normalisierung.
Zentrale Belege
- Route GET /files/** registriert über RouterFunctions.resources()
- Ressourcen-Verzeichnis ist eine FileSystemResource
- spring-webmvc 6.1.12 im betroffenen Versionsbereich (behoben in 6.1.13)
- EPSS 14,7 % (96. Perzentil), Stand 29.09.2026
Tiefe Lizenzprüfung
Den echten Lizenztext aus dem Quellcode extrahieren und die Copyleft-Fallen aufdecken, die Metadaten verbergen.
Der tatsächliche Lizenztext
Farion liest die Lizenz aus dem Code selbst – nicht aus dem Registry-Feld, das so oft falsch oder leer ist.
Copyleft früh erkannt
Starke Copyleft-Pflichten werden mit Klausel und Risiko markiert – bevor sie Ihre Kunden erreichen.
Strukturierte Compliance-Nachweise, keine weitere Findings-Liste.
Farion erzeugt versionierte Artefakte für Schwachstellen-Handling und technische Dokumentation, darunter transitive SBOMs, evidenzbasierte VEX-Statements und Lizenzreports.
SBOM
CycloneDX und SPDX, transitiv und vollständig.
VEX-Statements
Ausnutzbarkeits-Bewertungen mit Begründung, pro Finding.
Lizenzreport
Extrahierte Texte, Pflichten und Policy-Ergebnisse als Grundlage für Ihre rechtliche Prüfung.
Machen Sie Ihre Software-Compliance zukunftssicher.
Bereiten Sie sich auf das CRA-Schwachstellen-Handling vor – mit transitiven SBOMs, evidenzbasiertem VEX und tiefer Lizenzanalyse in einem Workflow.