Unterstützt Declarable Buildroot?

Teilweise. Die SBOM-Prüfung liest die JSON-Ausgabe von make show-info und liest auch eine .config, für die Paketnamen und die wenigen Versionen, die sie nennt. Das Manifest aus make legal-info liest sie nicht, daher stammen Lizenzen nur aus den Angaben von show-info.

Ich habe nur eine .config. Was passiert, wenn ich sie hochlade?

Sie wird gelesen, und die in menuconfig ausgewählten Pakete werden aufgelistet. Eine .config nennt nur für wenige davon eine Version (meist Kernel, Bootloader und C-Bibliothek), daher nennt das Ergebnis die gefundenen Versionen, sagt, dass die übrigen fehlen, und dass eine Schwachstellenprüfung ohne sie nur eine Vermutung sein kann. Für Versionen führen Sie in Ihrem Buildroot-Ausgabeverzeichnis make show-info > show-info.json aus und laden Sie diese Datei stattdessen hoch.

Kann ich eine SBOM aus einem Werkzeug eines Dritten verwenden?

Wenn ein Werkzeug Ihre Buildroot-Ausgabe in SPDX oder CycloneDX umwandelt, liest die SBOM-Prüfung diese Datei. Die Ausgabe von make show-info liest sie auch direkt.

Prüft Buildroot selbst auf CVEs?

Es hat ein eigenes Statistikziel, `make pkg-stats`, das bekannte CVEs je Paket meldet. Siehe das Buildroot-Handbuch.

Wo finde ich den Befehl für die Pipeline?

Auf der englischen Seite /docs/ci/buildroot.

Buildroot

Buildroot und der CRA: was der Build Ihnen liefert

Read in English

Buildroot baut ein Linux-Image aus einer Paketliste und schreibt keine SPDX- oder CycloneDX-Datei. Stattdessen schreibt es eine Paketliste: make show-info gibt jedes Paket mit seiner Version als JSON aus, und make legal-info schreibt ein Manifest aus Paketen und Lizenzen.

Diese Liste ist ein Anfang, aber keine SBOM, die andere lesen können, und die Namen sind Buildroot-Paketnamen, nicht die Hersteller-Produkt-Paare, die Schwachstellendatenbanken verwenden. Das eine in das andere zu überführen, ist dieselbe Zuordnungsarbeit wie bei den anderen Plattformen.

SBOM prüfen, kostenlos (auf Englisch)

Eine ist die Liste, die Ihr Build schreibt. Dateien werden in Ihrem Browser gelesen.

Die SBOM aus Buildroot herausholen

Aus Ihrem Buildroot-Baum, nachdem Sie Ihr Image konfiguriert haben:

make show-info > packages.json

Was Sie hochladen

Ausgabe von make show-info — die Paketliste mit Versionen als JSON
.config aus Ihrem Buildroot-Ausgabeverzeichnis — die in menuconfig ausgewählten Pakete. Sie nennt nur für wenige eine Version (meist Kernel, Bootloader und C-Bibliothek), und das Ergebnis nennt, welche eine bekamen, daher kann eine Schwachstellenprüfung für den Rest nur eine Vermutung sein. Senden Sie make show-info für jede Version.
manifest.csv aus make legal-info — wird heute nicht gelesen; es listet dieselben Pakete mit ihren Lizenzen, und Declarable nimmt die Paketliste stattdessen aus make show-info

Was die Prüfung zurückgibt

Die Pakete und Versionen aus make show-info, mit den Abhängigkeiten zwischen ihnen
Aus einer alleinigen .config: die ausgewählten Paketnamen, mit einer Version nur dort, wo die .config eine nennt. Das Ergebnis nennt, welche Pakete eine bekamen und welche nicht, und nennt make show-info als die Datei mit dem Rest
Eine CPE-Kennung für jedes Paket, dessen Rezept eine nennt, und für andere, wo eine unserer Zuordnungszeilen das Paket kennt
Kernel, Bootloader und C-Bibliothek (glibc, musl oder uClibc-ng), am Namen erkannt, damit die Fragen der Erklärung dazu einen Ausgangspunkt haben. Eine externe Toolchain bringt ihre eigene C-Bibliothek mit, die eine .config nicht nennt, und das Ergebnis sagt das
Heute nicht gelesen: das Manifest aus make legal-info und seine Lizenzspalten

SBOM prüfen, kostenlos (auf Englisch)

Fragen

Unterstützt Declarable Buildroot?: Teilweise. Die SBOM-Prüfung liest die JSON-Ausgabe von make show-info und liest auch eine .config, für die Paketnamen und die wenigen Versionen, die sie nennt. Das Manifest aus make legal-info liest sie nicht, daher stammen Lizenzen nur aus den Angaben von show-info.
Ich habe nur eine .config. Was passiert, wenn ich sie hochlade?: Sie wird gelesen, und die in menuconfig ausgewählten Pakete werden aufgelistet. Eine .config nennt nur für wenige davon eine Version (meist Kernel, Bootloader und C-Bibliothek), daher nennt das Ergebnis die gefundenen Versionen, sagt, dass die übrigen fehlen, und dass eine Schwachstellenprüfung ohne sie nur eine Vermutung sein kann. Für Versionen führen Sie in Ihrem Buildroot-Ausgabeverzeichnis make show-info > show-info.json aus und laden Sie diese Datei stattdessen hoch.
Kann ich eine SBOM aus einem Werkzeug eines Dritten verwenden?: Wenn ein Werkzeug Ihre Buildroot-Ausgabe in SPDX oder CycloneDX umwandelt, liest die SBOM-Prüfung diese Datei. Die Ausgabe von make show-info liest sie auch direkt.
Prüft Buildroot selbst auf CVEs?: Es hat ein eigenes Statistikziel, make pkg-stats, das bekannte CVEs je Paket meldet. Siehe das Buildroot-Handbuch.
Wo finde ich den Befehl für die Pipeline?: Auf der englischen Seite /docs/ci/buildroot.

Quellen

Angaben auf dieser Seite geprüft am 14. Oktober 2026.

Declarable bereitet Unterlagen vor, die Sie prüfen sollen. Das ist keine Rechtsberatung und keine Zertifizierung. Ihre Konformitätserklärung unterschreiben Sie selbst.

Buildroot und der CRA: was der Build Ihnen liefert

Eine ist die Liste, die Ihr Build schreibt. Dateien werden in Ihrem Browser gelesen.