Slackのパッケージカードと変化の表示

このページでは、パッケージカードの各部分の読み方と、差分レポートに出る変化の表示を説明します。 レポート全体の構成と件数はSlackのレポートの構成と件数を参照してください。

パッケージカードの読み方

パッケージカードは、パッケージ名に続けて、現在の版・修正版・検出件数などを表示します。 チャンネルの今すぐ対応では、次の詳細カードを使います。

◆ openssl
現在: 3.0.7
修正版: 3.0.11
更新の注意度: 🟢 ディストリのセキュリティパッチ
検出件数: CRITICAL 1 / HIGH 0
代表CVE: CVE-2031-0001 · CRITICAL · EPSS 94%
悪用情報: CISA KEV (実際の攻撃で悪用あり) · 🧨 ランサムウェア攻撃
参照: アドバイザリ · ベンダーのアドバイザリ

チャンネルの要監視では、次の簡略カードを使います。

◆ e2fsprogs
現在: 1.47.0-2 · 修正版: なし
検出件数: CRITICAL 1 / HIGH 0
代表CVE: CVE-2031-0003 · EPSS 3%

カードの使い分けを次に示します。 チャンネルの全体レポートには、週次レポートに加わる全体レポートも含みます。

表の「注意が必要な修正版あり」は、CRITICALを含むかメジャー更新が必要なパッケージを指します。

場所	詳細カード	簡略カード	カードなし（件数やまとめ）
チャンネルの全体レポート（トリアージ有効）	今すぐ対応	要監視・EOL	低優先度
チャンネルの全体レポート（トリアージ無効）	—	注意が必要な修正版あり・修正版なし・修正予定なし・EOL	それ以外の修正版あり
スレッド（トリアージ有効）	今すぐ対応・要監視・EOL	EOL区分の参照案内	低優先度
スレッド（トリアージ無効）	すべての修正状態	—	—
チャンネルの差分	トリアージ有効時の今すぐ対応	それ以外の個別表示するパッケージ	—

EOLと通知オフには、次の例外があります。

• ベースOSがEOLの場合は、そのイメージのEOLパッケージをベースOSの表示にまとめる
• トリアージが有効で、EOLのパッケージが今すぐ対応の場合は、今すぐ対応の区分に詳細カードを表示
• 全体レポートやスレッドのEOL区分に詳細: 🚨 今すぐ対応を参照がある場合は、そのパッケージの詳細を今すぐ対応の区分で確認する
• 通知オフのパッケージは、個別カードの対象外

各項目を表示する場合の書式を次に示します。 この比較は、チャンネルとスレッドのカードに共通です。

項目	詳細カード	簡略カード
現在の版・修正版	それぞれ別の行	同じ行
更新の注意度	更新の注意度:の行	修正版の後の括弧内
検出件数	深刻度別のCVE件数	深刻度別のCVE件数
対応	イメージの更新による解消と新しい版待ち	イメージの更新による解消と新しい版待ち
CVE	代表CVE・悪用情報・参照	代表CVEの短い表示
使用状況	観測根拠を含む表示	使用中の短い表示

検出件数:は、そのカードに含まれるCVE IDを重複なく数えた件数です。 カードを分ける単位は優先度の行の件数、代表CVEの表示条件はCVEの表示を参照してください。

使用状況は、チャンネルでは使用中の情報を表示し、スレッドの詳細カードでは使用が確認されない場合や判定できない場合も表示します。 詳しくは使用状況のラベルを参照してください。

修正版がない場合は修正版: なしと表示します。 詳細カードには、修正状態に応じて次の案内を添えます。

修正状態	表示
修正版なし	修正版: なし — 緩和策を検討
このOSリリースでは修正予定なし	修正版: なし — このOSリリースでは修正予定なし、置き換えを検討

EOLのカードに添える案内は、EOLの表示を参照してください。

カードの前にあるイメージの見出しは、後に続くパッケージがどのイメージで見つかったかを示します。 次は、その見出しの例です。

イメージ: api:2.0

同じイメージ名に複数のdigestがある場合は、短縮したdigestを付けて区別します。 必要に応じて、OS・CPUアーキテクチャも添えます。

CVEの表示

代表CVE:は、そのカードに含まれるCVEのうち、優先度とEPSSを基に選んだ1件を示します。 次は、代表CVEのほかに1件のCVEがある詳細カードの表示例です。

代表CVE: CVE-2031-0006 · HIGH · EPSS 20% (このパッケージにほか +1件のCVE)

代表CVEは、次の順で比べて選びます。 前の条件で差がつかない場合だけ、次の条件を使います。

1. 優先度が今すぐ対応 → 要監視 → 低優先度の順
2. EPSSのスコアがあるCVEを、スコアがないCVEより先に選ぶ
3. EPSSのスコアが高いCVEを先に選ぶ
4. CVE IDを文字列の昇順で比べ、先になるCVEを選ぶ

簡略カードでの代表CVEの表示には、次の決まりがあります。

• 全体レポートの要監視とEOLの簡略カードでは、トリアージ有効時にKEVまたはEPSSを利用できる場合、代表CVEを表示
• トリアージ無効時、またはKEVとEPSSの両方を利用できない場合は、全体レポートの簡略カードの代表CVEを省略
• 差分の簡略カードでは、新しく追加されたCVEのIDを表示する場合は代表CVEを省略し、それ以外は代表CVEを表示

代表CVE以外のCVEは、表示場所に応じて次のように示します。

表示場所	ほかのCVEの扱い
チャンネルの詳細カード	代表CVE:に(このパッケージにほか +N件のCVE)を添える
スレッドの詳細カード	ほかのCVE:にIDを並べ、省略分を(ほか +N件)で示す
チャンネルの差分カード	変化:に新しく追加されたCVEのIDを表示

ほかのCVEの件数は、そのカードに含まれるCVEを対象とします。 詳細カードのEPSS n/aはスコアがないことを示し、非常に小さい値は<0.1%、非常に大きい値は>99%と表示します。

悪用情報:は、代表CVEについて確認できた悪用の情報を示します。 次の例は、実際の攻撃での悪用とランサムウェア攻撃の情報がある場合です。

悪用情報: CISA KEV (実際の攻撃で悪用あり) · 🧨 ランサムウェア攻撃

悪用情報の各表示は、次の意味です。

表示	意味
CISA KEV (実際の攻撃で悪用あり)	代表CVEがCISA KEVに掲載され、実際の攻撃で悪用されている
🧨 ランサムウェア攻撃	代表CVEについて、ランサムウェア攻撃での悪用情報がある

優先度の判断は悪用情報による優先度を参照してください。

スレッドの説明:には、代表CVEの説明文を表示します。 説明文の出どころは、次のとおりです。

検出結果	説明文の出どころ
Trivyの所見	Trivyの説明文
Node.js・Python本体の所見	各ランタイムの脆弱性情報

省略されていないCVEの全データは脆弱性のフィールドで確認できます。

イメージの更新による解消と新しい版待ち

カードの対応:行は、そのパッケージの脆弱性が、イメージや元イメージを新しい版に上げると消えるかどうかを調べた結果です。 チャンネルの詳細カード・簡略カード、スレッド、差分カードの検出件数:の次に表示します。

系列は、3.11と3.13のように、版の先頭2つの数字で区別するまとまりです。

元イメージを新しい系列に上げると解消する場合は、次のように表示します。

対応: 元イメージ python 3.11.9 → 3.13.1 で解消（minor の更新、同じ系列に新しい版なし、ベースの比較）

行の各部分と、結果に応じて付く補足の意味を次に示します。 表中の脆弱性は、そのカードに含まれる修正版のある所見を指します。

表示の部分	意味
元イメージ	Dockerfileで指定した、イメージを作る土台となるイメージ
イメージ	配布されているイメージそのもの
python	更新対象のイメージ名の末尾で、レジストリのホスト名や途中のパスは省略
3.11.9 → 3.13.1	左が現在のイメージの版、右が比較した候補の版
で解消	候補では、カードの対象の脆弱性がすべて消える
で一部解消	候補では、カードの対象の脆弱性の一部が消え、残りは解消しない
の新しい版待ち	確認した範囲では、カードの対象の脆弱性を解消できる版が見つかっていない
2件中1件	カード内の修正版がある脆弱性をIDごとに数え、2件中1件が候補で解消
minor の更新	版の先頭の数字は同じで、2番目の数字が増える更新
major の更新	版の先頭の数字が増える更新
同じ系列に新しい版なし	現在と同じ系列には、より新しい版がない
同じ系列の新しい版では未解消	現在と同じ系列の新しい版では、対象の脆弱性が解消しない
ベースの比較	現在と候補の元イメージを比べた結果で、再ビルド後の完成イメージは未確認
新たな所見あり	候補への更新には、新たな所見も伴う
確認した 1.27.3 と 2.0.1 でも未解消	記載された候補でも対象の脆弱性が残り、ほかの版での解消は未確認

結果ごとの行の例を次に示します。

結果	表示例
元イメージで解消	対応: 元イメージ python 3.11.9 → 3.13.1 で解消（minor の更新、同じ系列に新しい版なし、ベースの比較）
イメージで一部解消	対応: イメージ nginx 1.24.1 → 1.27.3 で一部解消（2件中1件、minor の更新、同じ系列に新しい版なし）
確認した新しい系列でも未解消	対応: イメージ nginx 1.24.1 の新しい版待ち（確認した 1.27.3 と 2.0.1 でも未解消）
同じ系列と新しい系列で未解消	対応: イメージ nginx の新しい版待ち（同じ系列の新しい版と、確認した 2.0.1 で未解消）
条件に合う新しい版なし	対応: 元イメージ python 3.11.9 の新しい版待ち（同じ系列にも、条件に合う新しい系列にも新しい版なし）
同じ系列に新しい版なし	対応: 元イメージ python 3.11.9 の新しい版待ち（同じ系列に新しい版なし）

解消するか判断できない所見を含むカードなどでは、対応:行を省略することがあります。 ただし、元イメージに同じ系列の新しい版がないと分かっている場合は、その情報だけを表示することもあります。

カードの対応:行だけが変わっても、スレッドの全体レポートは送り直しません。 再投稿の条件はSlackスレッドの投稿条件を参照してください。

細かな表示条件はSlackのカードに出す行、候補の選び方は調べる版を参照してください。 修正計画メッセージの読み方は表示項目で確認できます。

更新の注意度

更新の注意度は、現在の版から修正版へのバージョン変更の種類を示します。 詳細カードでは、次のように表示します。

更新の注意度: 🟢 ディストリのセキュリティパッチ

各表示の意味を次に示します。

表示	意味
🟢 ディストリのセキュリティパッチ	OSパッケージの修正版で、「ディストリ」はOSの配布元であるディストリビューションを指す
🟢 低リスク	言語パッケージでメジャーバージョンが増えない変更
🟠 メジャーバージョン更新 — 要注意	言語パッケージでメジャーバージョンが増える変更
⚪ リスク不明	バージョンを比較できない変更

緑色の表示は、更新の安全性や互換性を保証するものではありません。

エコシステムの表示

エコシステムの表示は、パッケージ名の後の角括弧で、言語パッケージの種類を示します。 次は、Pythonパッケージの表示例です。

◆ setuptools [python-pkg]

角括弧内の表示と対象を次に示します。

表示	対象
[python-pkg]	Pythonパッケージ
[node-pkg]	Node.jsのパッケージ
[gobinary]	Goバイナリに含まれるパッケージ
[jar]	JavaのJARファイルに含まれるパッケージ
[node-runtime]	Node.js本体の所見
[python-runtime]	Python本体の所見
[lang]	種類を特定できない言語パッケージ
角括弧の表示なし	OSパッケージ

Trivyが識別した言語パッケージには、この表以外の種類も表示します。 Node.js・Python本体の所見は、各ランタイムの脆弱性情報から作成します。

Node.js・Python本体を示す表示は、パッケージの種類を表すもので、稼働中のコンテナで使用を確認したという意味ではありません。 使用の確認結果は使用状況のラベルで確認できます。

参照リンク

参照:には、代表CVEに関連するリンクを表示します。 次の例では、脆弱性の案内とベンダーの情報へのリンクを表示しています。

参照: アドバイザリ · ベンダーのアドバイザリ

リンクの表示と行き先を次に示します。

表示	リンク先
アドバイザリ	Trivyまたは各ランタイムの脆弱性情報が示す主要なアドバイザリー
ベンダーのアドバイザリ	KEVの注記にあるベンダーやCISAの情報
💬 HN (N pts)	関連するHacker Newsの議論（Nはポイント数）

代表CVE:・ほかのCVE:・変化:に表示するCVE IDは、NVDへのリンクです。 GHSAやDLAなど、CVE以外のIDは通常のテキストで表示します。

変化の表示

差分通知では、イメージ、パッケージ、EOLの変化をそれぞれ表示します。 差分を成立させる規則は差分と履歴の判定を参照してください。

イメージの変化

イメージの変化には、同じイメージ名で内容が変わった場合と、イメージ名が更新された場合の2種類の表示があります。 digestは、イメージの内容を識別する値です。

同じイメージ名でdigestが変わると、次の見出しの下にイメージ名と変更前後の短縮したdigestを表示します。

🔄 イメージの内容が変化 (1件)

見出しの下の行は、次の書式です。 イメージ名と短縮したdigestが入る位置を示しています。

• イメージ名: イメージ更新 (変更前の短縮したdigest → 変更後の短縮したdigest)

見出しの件数は、内容が変わったイメージ名の数です。 変更前後に複数のdigestがある場合は、それぞれをカンマで区切って表示します。

イメージ名が更新され、検出履歴を引き継いだ場合は、次のように表示します。 1行目のsha-aaaaとsha-bbbbはタグ、2行目の0123456789abは短縮したdigestです。

🔄 イメージ参照の更新: ghcr.io/acme/web sha-aaaa → sha-bbbb(検出履歴を引き継ぎ)
🔄 イメージ参照の更新: registry.example:5000/team/api 0123456789ab → 1.4(検出履歴を引き継ぎ)

矢印の前後には、更新前と更新後それぞれのイメージ名の指定に応じて、次の値を表示します。

イメージ名の指定	矢印の前後に表示する値
タグあり	タグ
タグがなく、digestで固定	短縮したdigest
タグもdigestもなし	latest

履歴を引き継ぐ条件は、イメージ名の更新を参照してください。

パッケージの変化

パッケージの変化は、区分の見出しと、カード内の変化:の行で示します。 同じイメージ名とパッケージの組み合わせについて、保存した履歴と最新のスキャンの結果を比べます。

次の例は、修正版が利用できるようになったパッケージの差分カードです。

◆ dpkg
変化: 修正版が利用可能
現在: 1.21.22 · 修正版: 1.21.23 (🟢 ディストリのセキュリティパッチ)
検出件数: CRITICAL 0 / HIGH 1
代表CVE: CVE-2031-0004 · EPSS <0.1%

区分の見出しは、次の内容をまとめます。 新規検出の区分には、初めて検出したパッケージだけでなく、検出済みのパッケージの変化も含みます。

見出しの表示	含まれる内容
🆕 前回のスキャンからの新規検出 (N件)	初めての検出、優先度の上昇、CVEの追加、修正版の公開、通知の再開
✅ 前回のスキャンからの解消 (N件)	パッケージの検出結果の解消と、パッケージ・ベースOSのEOL解除

見出しのNは、次のように数えます。

• 新規検出では、表示対象のイメージ名とパッケージの組み合わせを1件として数える
• 解消では、解消またはEOL解除となったイメージ名とパッケージの組み合わせを1件として数え、ベースOSのEOLが解消したイメージ名の数を加える

新規検出では、同じ組み合わせでも修正版の有無などでカードが分かれるため、見出しの件数とカードの数が一致しない場合があります。

カード内の変化:の行は、次の変化を示します。

表示	出る場面
変化: ⬆️ 今すぐ対応に優先度昇格	要監視または低優先度だった組み合わせが、今すぐ対応になった場合
変化: ⬆️ 要監視に優先度昇格	低優先度だった組み合わせが、要監視になった場合
変化: 新しいCVE CVE-2031-0007	保存した履歴にないCVEが、その組み合わせで検出された場合
変化: 修正版が利用可能	修正版がなかった組み合わせで、修正版のある検出結果が見つかった場合

保存した履歴にない組み合わせを初めて検出したカードには、変化:の行を付けません。 CVEの追加で複数のカードを表示する場合も、追加されたCVEを含まないカードでは、この行を省略します。

複数の変化がある場合の判定順は、通常のパッケージの変化を参照してください。 通知オフからの再開表示は、通知オフの表示を参照してください。

EOLの表示

EOL（サポート終了）の表示には、ベースOSがEOLのイメージの表示と、EOLのパッケージの表示があります。 パッケージのEOLは、対象リリースでサポート範囲外とされたCVEの検出結果を示します（パッケージのEOL）。

次の例は、全体レポートでベースOSがEOLのイメージを表示した部分です。

⛔ ベースOSのサポート終了(EOL) (最優先)
イメージ: legacy:1
状態: ベースOSがEOL (今後のセキュリティ更新なし)
サポート終了(EOL)のパッケージ2件を含む

全体レポートとスレッドでは、ベースOSがEOLのイメージについて、次のように表示します。

• そのイメージのEOLパッケージは個別のカードにせず、ベースOSの行に件数で示す
• トリアージ有効時は、そのうち今すぐ対応のパッケージだけ、今すぐ対応の区分にも詳細カードを表示する

全体レポートでは、EOLパッケージの件数や詳細の確認先を次の文言で示します。

表示	読み方
サポート終了(EOL)のパッケージN件を含む	このイメージのベースOSの行にまとめたEOLパッケージの件数
詳細: 🚨 今すぐ対応を参照	このパッケージの詳細は今すぐ対応の区分に表示

差分では、新たなEOL検出、CVEの追加、EOL解除を次の文言で示します。

表示	読み方
新たにサポート終了(EOL)となったパッケージN件を含む	新たにEOLと判定したベースOSの行にまとめた、新たなEOLパッケージの件数
パッケージN件が新たにサポート終了(EOL)	EOLのベースOSの下に件数で示す、新たなEOLパッケージ
新規CVEのあるサポート終了(EOL)のパッケージN件	EOLのベースOSの下に件数で示す、CVEが追加されたEOLパッケージ
ベースOSのEOLが解消	そのイメージ名が、ベースOSのEOLの記録からなくなったこと
サポート終了(EOL)が解消	そのパッケージのEOLの検出結果がなくなり、通常の検出結果が残っていること

⛔ 新規: パッケージのサポート終了(EOL) (N件) — ベンダーがこれらのCVEをこのリリースのサポート対象外と報告のNは、変化があったイメージ名とパッケージの組み合わせを数えます。 新たなEOL検出だけでなく、今すぐ対応への優先度上昇やCVEの追加も対象です。

この見出しの件数に含めるものと、含めないものは次のとおりです。

• 個別のカードで表示するEOLパッケージの変化は数える
• ベースOSが既にEOLのイメージでは、件数にまとめた新たなEOL検出やCVE追加も数える
• ベースOSを新たにEOLと判定したイメージでも、検出済みのEOLパッケージへのCVE追加は数える
• ベースOSとパッケージを同時に新たなEOLと判定した場合、今すぐ対応以外のパッケージはベースOSの行にまとめ、この見出しには数えない

カードの修正版の案内は、パッケージの種類と表示場所によって次のように異なります。 表の「通常のEOLパッケージ」は、Node.js・Python本体以外のEOLパッケージです。

カードの種類と場所	修正版の表示
通常のEOLパッケージの簡略カード（チャンネル、スレッドの今すぐ対応への案内）	修正版: なし — サポート終了(EOL): このリリースでは修正予定なし
通常のEOLパッケージの詳細カード（チャンネルの今すぐ対応、スレッド）	修正版: なし — サポート終了(EOL): このリリースでは修正予定なし、サポート中のバージョンを検討
Node.js・Python本体のカード（チャンネル、スレッド）	修正版: なし — サポート終了(EOL): この系列には修正版が出ないため、系列を上げる必要がある(手動)

EOLではなくなっても、脆弱性は通常の検出結果として残ることがあります。 EOLの意味は検出結果の分類、解除の判断は解消の判定を参照してください。