Mend 会标记那些没有上游补丁的 CVE。HeroDevs 提供修复方案。
HeroDevs 的Never-Ending Support (NES) 修复方案现在会显示在 Mend SCA 的问题旁边。订阅 NES 服务后，Mend Renovate 会自动创建拉取请求，这样您的团队就可以直接在当前运行的版本线上审查补丁，而无需规划迁移。
“发现漏洞只是成功的一半。Mend.io 的目标是帮助客户保障其应用程序的安全，这意味着不仅要报告漏洞，更要修复漏洞。借助 HeroDevs，使用 Mend SCA 的 Mend AppSec 客户现在可以修复那些已停止维护、无法再获得上游补丁的开源依赖项中的 CVE 漏洞。”
阿萨夫·萨尔
Mend.io 首席产品官
从 Mend 的发现到合并修复
.webp)
1. Mend SCA 报告了该 CVE
Mend 会像现在这样扫描您的代码库，并针对不再接收上游修复程序的软件包版本报告 CVE。
.webp)
2. Mend 展示了 NES 的修复方案
HeroDevs 会持续按软件包和版本分享 NES 对 CVE 的修复情况，以便 Mend SCA 能够直接指向修复该 CVE 的 NES 版本，而无需迁移到新的大版本。
3. Mend Renovate 生成拉取请求
对于已订阅 NES 的团队，Mend Renovate 会创建一个替换拉取请求，将存在漏洞的版本替换为 NES 发行版。您的团队需审核该拉取请求、运行测试，然后进行合并。
.webp)
4. 该调查结果已结案
Mend 会识别每个 NES 版本所修复的 CVE，因此一旦安装了该 NES 版本，Mend 就会停止标记这些 CVE。
升级、迁移还是 NES：根据调查结果决定
如果某个问题尚无上游补丁，该问题将保持开放状态，直至迁移完成；在此期间，组织会将该问题纳入每次审计和客户安全审查中。Mend SCA 会将 HeroDevs 的修复方案与其他建议的修复方案并列显示，以便您的团队针对每个问题选择合适的处理方案。
您的软件包的新版本中已提供上游修复程序
请手动或通过 Mend Renovate升级到推荐版本。
没有上游补丁，计划在本季度进行迁移
利用 NES 作为过渡方案，在迁移完成前确保系统安全并符合合规要求。
没有上游补丁，而且迁移还要等几个月甚至几年
请继续使用 NES。在您制定计划期间，NES 会确保该版本系列始终保持最新、安全且符合规范。
HeroDevs NES 和 Mend 常见问题解答
关于 Mend 集成，我们最常收到的问题及其解答。如果您找不到所需信息，欢迎随时联系我们。
查看NES涵盖了您哪些Mend检测结果
