カスタムCVEの追加
Aikidoでは、ワークスペース管理者が内部または非公開パッケージ向けのカスタムCVEを定義できます。スキャンで一致するパッケージとバージョンが見つかると、AikidoはCUSTOM-CVE-{id}という識別子を持つオープンソースIssueを作成します。
ユースケース
Section titled “ユースケース”- 内部または非公開パッケージ: 公開CVEデータベースには載っていないものの、既知のセキュリティ上の欠陥があるライブラリを保守している場合。
- 公開CVEが存在しない: 脆弱性は社内で発見されたものの、CVEが割り当てられたことがない場合。
- ポリシーに基づくブロッキング: すべてのリポジトリとコンテナにわたり、内部パッケージについて「Xバージョン未満は禁止」というポリシーを適用したい場合。
カスタムCVEの追加
Section titled “カスタムCVEの追加”ステップ1. CVEデータベース レポート → Manage Custom CVEs に移動します。
ステップ2. Add Custom CVE をクリックします。
ステップ3. 以下のフィールドを入力します:
- Package name
- スキャンで検出される正確なパッケージ名を使用してください。
- Affected versions
- 次のいずれかの一致方法を使用します:
- Flag Version: 最初に脆弱なバージョン、最後に脆弱なバージョン、パッチまたは修正バージョンを定義します。
- Minimum Required Version: 必要な最小バージョンを下回るバージョンをすべてフラグ付けします。
- 次のいずれかの一致方法を使用します:
- Short description, TL;DR and Score
1から100までの優先度を設定します。これによりIssueの重大度が決まります。
ステップ4. Save Changes をクリックします。
AikidoはCUSTOM-CVE-{id}を割り当て、次回のスキャンから一致判定を開始します。
例
パッケージ acme-auth-lib は 1.0.0 から 1.5.2 まで脆弱です。
バージョン 1.6.0 に修正が含まれています。
次のようにカスタムCVEを作成します:
- Package name:
acme-auth-lib - Flag Version:
1.0.0→1.5.2 - Patch version:
1.6.0 - Score:
78（Highの重大度にマッピングされます）
脆弱なバージョンを使用しているリポジトリにはすべてIssueが作成されます。
1.6.0にアップグレードすると、次回のスキャンでIssueは自動的にクローズされます。
トラブルシューティング
Section titled “トラブルシューティング”カスタムCVEのIssueが表示されない場合、以下の原因が考えられます:
- パッケージ名が完全に一致していない（大文字小文字を区別します）
- インストールされているバージョンが定義された範囲外である
- パッケージがdev依存関係であり、dev依存関係スキャンが無効になっている
- ワークスペースでこの機能が有効化されていない
対象パッケージがdev依存関係の場合は、先にdev依存関係のCVEスキャンを有効にしてください。Scanning Dev Dependencies for CVEs を参照してください。