Ubuntu 20.04 パブリッシャーイメージにおける CVE の評価

ステップ1：レポートを確認する

まず、スキャンレポートに記載されているCVE番号を特定してください。CVE番号は、 CVE-2023-44487のような形式に従います。

ステップ2：利用可能な解決策を調べる

CVE番号とその影響を受けるコンポーネントを特定したら、利用可能なパッチを検索してください。 Ubuntuの公式セキュリティデータベース：https://ubuntu.com/security/{CVE番号}

Example: For CVE-2023-44487, visit https://ubuntu.com/security/CVE-2023-44487

このページでは、脆弱性に関する詳細情報とUbuntuの公式対応について説明します。例えば、影響を受けるコンポーネントがnghttp2ライブラリである場合は、対応するセクションを探してください。パッチ適用済みのバージョンを見つけるには、 focal （Ubuntu 20.04のコードネーム）を検索してください。1.40.0-1ubuntu0.2のようなリリースバージョンは、このバージョンにアップグレードすることで脆弱性が解消されることを示しています。

よくあるステータスの定義

（参考： CVEの読み方）

• Not vulnerable/Not affected: お客様のシステムは危険にさらされていません。
• Needs triageUbuntuは現在、この脆弱性を評価中です。
• IgnoredUbuntuは、以下の理由により、この問題に対処しないことを決定しました。
  • この脆弱性は修正を必要としません（詳細は注記セクションを参照してください）。
  • 当該OSはサポート終了（EOL）を迎えており、今後アップデートは提供されません。
• Needed/Pendingパッチが開発中です
• Released脆弱性を修正するアップデートが利用可能です
  • Available with Ubuntu ProこのパッチはUbuntu Pro加入者のみが利用可能です。代替の対策を検討してください。

ステップ3．緩和策を見つける（必要な場合）

脆弱性の詳細については、以下のリンクをご覧ください。

https://nvd.nist.gov/vuln/detail/{CVE number}

例えば、 https://nvd.nist.gov/vuln/detail/CVE-2023-44487

詳細なレポートから軽減策が得られる場合があります。

そして、よくある緩和策がいくつかあります。

• 不要な部品であれば、該当する部品を取り外してください。
• 影響を受けるコンポーネントの使用を防止します。
  • 特定の状況下で部品に脆弱性が見られる場合があるため、お客様にその点に注意するよう促します。
  • 顧客がそうでない場合は、コンポーネントを無効にします。 それ。

Ubuntuがパッチを提供していないCVEのリスト > 2年

sudo apt-get remove python3-httplib2

sudo rm /usr/bin/scp