カスタムCVE脆弱性

公開CVEデータベースにない社内またはプライベートパッケージの脆弱性を定義します。

Aikido では、ワークスペース管理者が社内またはプライベートのパッケージ向けにカスタム CVE を定義できます。スキャンで一致するパッケージとバージョンが見つかると、Aikido はオープンソースの Issue を作成し、 CUSTOM-CVE-{id} 識別子。

この機能はワークスペースレベルで有効化する必要があります。有効化するにはお問い合わせください。

ユースケース

• 社内またはプライベートのパッケージ: 公開 CVE データベースにはないものの、既知のセキュリティ上の欠陥があるライブラリを管理している場合。
• 公開 CVE が存在しない場合: 脆弱性が社内で見つかったものの、CVE が割り当てられなかった場合。
• ポリシーに基づくブロック: 社内パッケージについて、すべてのリポジトリとコンテナで「X 未満のバージョンは不可」を強制したい場合。

カスタム CVE を追加

ステップ1。 次へ移動: CVE データベース レポート → カスタム CVE を管理

ステップ2。 クリック カスタム CVE を追加.

ステップ 3。 次の項目を入力してください:

• パッケージ名

  • スキャンで検出された正確なパッケージ名を使用してください。
• 影響を受けるバージョン

  • 次の一致方法のいずれかを使用してください:

    • フラグ付けするバージョン: 最初の脆弱なバージョン、最後の脆弱なバージョン、およびパッチまたは修正版を定義します。
    • 必要最小バージョン: 必要最小バージョン未満のすべてのバージョンをフラグ付けします。
• 短い説明、要約、スコア

  • 優先度を〜から設定します 1 から 100。これにより、Issue の深刻度が設定されます。

ステップ4。 クリック 変更を保存.

Aikido は 〜を割り当てます CUSTOM-CVE-{id} そして次のスキャンで照合を開始します。

例

パッケージ acme-auth-lib は〜から脆弱です 1.0.0 〜 1.5.2.

バージョン 1.6.0 に修正が含まれています。

カスタム CVE は次のように作成します:

• パッケージ名: acme-auth-lib
• フラグ付けするバージョン: 1.0.0 → 1.5.2
• パッチバージョン: 1.6.0
• スコア: 78 これは高い深刻度に対応します

脆弱なバージョンを使用しているリポジトリには Issue が作成されます。

〜にアップグレードすると 1.6.0 次回のスキャンで自動的に Issue が閉じられます。

トラブルシューティング

次の場合、カスタム CVE の Issue が表示されないことがあります:

• パッケージ名が完全に一致せず、大文字小文字が区別される
• インストールされたバージョンが定義された範囲外である
• パッケージが dev 依存関係で、dev 依存関係のスキャンがオフになっている
• この機能がワークスペースで有効になっていない

影響を受けるパッケージが dev 依存関係の場合は、最初に dev 依存関係の CVE スキャンを有効にしてください。参照: dev 依存関係の CVE をスキャンする.