「修正なし」とはどういう意味か
パッケージに利用可能な修正バージョンがない場合、Aikidoは関連する脆弱性を自動的に抑制または集約することがあります。特に、それらがサポート終了（EOL）のベースイメージ由来である場合です。修正不可能な問題を何十件、何百件と表示する代わりに、実行可能なアラートを1つお知らせします。それは、ベースイメージをアップグレードすることです。
「修正バージョンなし」とはどういう意味ですか？
一部の脆弱性（CVE）は「修正利用不可」とラベル付けされています。これは通常、次のことを意味します。
パッケージの保守担当者がサポートを終了したため、パッチが提供されていません。
OSバージョンがEOLのため、上流のセキュリティチームがもはや修正を出していません。
影響を受けるパッケージの修正版が存在しません。
これは、コンテナのベースイメージで使われる古いLinuxディストリビューションでよく見られます。たとえば次のようなものです。
Ubuntu 14.04 / 16.04
Debian Jessie / Stretch
Alpine 3.10 以前
なぜAikidoはこれらのCVEを無視するのですか？
私たちはそうしません 完全に 無視するわけではありません。代わりに、より上位の、実際に修正可能な問題に集約します。
修正できない数百件のCritical CVEでダッシュボードを埋め尽くす代わりに、Aikidoは本当の解決策を示します。それは、EOLのベースイメージを置き換えることです。
例
Debian
Debian Security Teamは、サポート終了リリースの問題をしばしば 「対象外」 または 「DSAなし」として扱います。サポート対象リリースでは、リスクが低い、または影響が限定的な場合に 「no-dsa」 （つまり、勧告を出さない）とすることがあります。これは実質的に、セキュリティ更新経由ではパッチが提供されず、ディストリビューションは通常のポイントリリースまたは上流のみの修正に依存することを意味します。
Alpine
AlpineのSecDBアドバイザリーデータベースでは、バックポートが作成されない古いブランチに対して修正版なしと表示されることがあります。対処法は、サポート対象のブランチへ移行することです。
保守されていないライブラリ
放棄された、または保守されていないライブラリを使っているプロジェクトは、修正利用不可として表示されることがあります。これは、保守担当者がもはや修正を提供していないためです。最終的には、そのライブラリを保守されている代替品に置き換える必要があります。Aikidoは問題分析の中でそれを推奨することがあります（たとえば、廃止された pycrypto を pyca/cryptography).
このアプローチの利点
✅ 優先順位が明確になる: 解決策がない脆弱性のトリアージに時間を無駄にしなくて済みます。
✅ ノイズが減る: 修正不可能な問題を集約することで、Aikidoはあなたが 修正できる ものに集中できるよう支援します。
✅ 実際の修正: 私たちは唯一現実的な解決策を強調します。それは、コンテナのベースイメージをサポート対象バージョンにアップグレードすることです。
でも、それは危険では？
いいえ、その理由は次のとおりです。
私たちは たった 次の場合にのみCVEを抑制します。
上流で、修正が今後一切出ないことが確認されている。
その問題が文脈上関連しない（例：コンテナ内では悪用できない）。
Aikidoが、より実用的なアラート（例：EOLイメージ）に置き換えられる。
私たちは 決して 次の脆弱性を抑制することはありません。
パッチまたは修正が利用可能である
あなたの環境で悪用可能であることが分かっている
進行中の脅威に対して即時対応が必要である
何をすべきですか？
🔍 次を確認してください：
「サポート終了コンテナ」の警告、またはベースイメージのアップグレードを促す推奨
ベースイメージを新しいサポート対象バージョンに更新してください。そうすれば、修正不可能なCVEのほとんどが一度に自動的に削除されます。
高度なオプション（Enterprise）
古いソフトウェアを使い続ける必要がある場合、Aikidoは次を提供します。
最終更新
役に立ちましたか？