「No Fix」とは何を意味するのか

パッケージに利用可能な修正版が存在しない場合、Aikidoは関連する脆弱性を自動的に抑制または集約することがあります。特に、サポート終了（EOL）のベースイメージに起因する場合はその傾向が強くなります。修正不可能な課題を何十件、何百件も表示する代わりに、Aikidoは「ベースイメージをアップグレードする」という1つの実行可能なアラートを提示します。

「修正版がない」とはどういう意味か

一部の脆弱性（CVE）は「no fix available」（修正版なし）というラベルが付けられます。これは通常、以下のいずれかを意味します。

パッケージのメンテナーがサポートを終了しており、パッチがリリースされていない。
OSバージョンがEOLであり、上流のセキュリティチームがもはや修正を出していない。
影響を受けるパッケージのパッチ版が存在しない。

これは、コンテナのベースイメージで使われる古いLinuxディストリビューションでよく見られます。例えば以下の通りです。

Ubuntu 14.04 / 16.04
Debian Jessie / Stretch
Alpine 3.10以前

なぜAikidoはこれらのCVEを無視するのか

これらを完全に無視しているわけではありません。実際に修正可能な、より上位レベルの課題へと集約しています。

修正できないCritical CVEを何百件もダッシュボードに溢れさせる代わりに、Aikidoは真の解決策、つまりEOLベースイメージの置き換えを指し示します。

具体例

Debian

Debian Security Teamは、サポート終了リリースの課題をしばしば*「not covered」または「no DSA」としてマークします。サポート対象のリリースについても、リスクが低い、あるいは影響が限定的な場合には「no-dsa」*（つまりアドバイザリを発行しない）とマークすることがあります。これは事実上、セキュリティアップデートを通じたパッチ提供が行われず、そのディストリビューションが定期的なポイントリリースまたは上流のみの修正に依存することを意味します。

Alpine

AlpineのSecDBアドバイザリデータベースは、バックポートが作成されない古いブランチについて修正版なしと表示することがあります。対処法はサポート対象のブランチへ移行することです。

メンテナンスされていないライブラリ

放棄された、あるいはメンテナンスされていないライブラリを使用しているプロジェクトは、修正版なしと表示されることがあります。これは、メンテナーがもはや修正を提供していないためです。最終的には、メンテナンスされている代替ライブラリへの置き換えが必要になり、Aikidoは課題分析の中でそれを推奨することがあります（例えば、廃止されたpycryptoをpyca/cryptographyに置き換えるなど）。

このアプローチのメリット

✅ 優先順位が明確になる: 解決の見込みがない脆弱性のトリアージに時間を無駄にすることがなくなります。

✅ ノイズが減る: 修正不可能な課題を圧縮することで、Aikidoは修正可能なものに集中できるようにします。

✅ 実際に有効な修正: 唯一の実践的な解決策、つまりコンテナのベースイメージをサポート対象バージョンへアップグレードすることを強調します。

それはリスクではないのか

いいえ、その理由は以下の通りです。

Aikidoが以下の場合に限りCVEを抑制します。

上流が今後修正版を一切リリースしないことを確認済みである場合。
その文脈において課題が関連性を持たない場合（例: コンテナ内で悪用不可能）。
Aikidoがそのシグナルを、より実行可能なアラート（例: EOLイメージ）に置き換えられる場合。

以下に該当する脆弱性は決して抑制しません。

パッチまたは修正版が利用可能なもの
お客様の環境で悪用可能であることがわかっているもの
アクティブな脅威に対して即座の対応が必要なもの

どう対応すればよいか

🔍 以下を確認してください。

「End-of-Life container」の警告、またはベースイメージのアップグレード推奨
ベースイメージを、サポートされている新しいバージョンへ更新してください。これにより、修正不可能なCVEの大半が一度に自動的に取り除かれます。

高度なオプション（Enterprise）

古いソフトウェアを引き続き使用する必要がある場合、Aikidoは以下を提供しています。