软件成分分析（SCA）和软件物料清单（SBOM）是现代软件开发的重要工具，帮助企业管理开源依赖和合规要求。随着开源组件的增加，企业面临更大的安全风险和合规压力。美国和欧盟的法规要求提供SBOM，以确保透明度和安全性。SCA工具通过自动识别依赖、许可证和漏洞，帮助企业应对这些挑战，确保合规并提升安全性。

京东在openKylin社区成立了SBOM SIG组，推动软件物料清单（SBOM）的发展和工具建设。SBOM-TOOL是一款基于Go语言实现的开源项目，用于生成软件项目的物料清单。

本文强调了在旧的第三方软件组件中发现新漏洞的重要性，并强调了对物联网/工业物联网设备拥有软件物料清单（SBoM）的重要性。文章列举了一些漏洞案例，包括TinyXML、ALEOS和openNDS，并介绍了作者如何利用这些漏洞实现设备的Root权限。最后，作者还搭建了一个蜜罐来收集针对Sierra Wireless AirLink Gateways的攻击数据。