小ネタ。
Trivyと言えばコンテナ向けの脆弱性スキャンツールとして有名だが、Linuxサーバに対してもスキャン出来る。
サポートしているOSの一覧はこちらになる。
一応'23/9/5時点でのサポート対象リストを一部抜粋したものも載せておく。

OS	Version	Target
Alpine	2.2-2.7,3.0-3.16,edge	apk
Redhat UBI	7,8,9	yum/rpm
RHEL	6,7,8	yum/rpm
CentOS	6,7,8	yum/rpm
Amazon Linux	1,2,2022	yum/rpm
Ubuntu	All version	apt/apt-get/dpkg
Photon	1.0,2.0,3.0,4.0	tdnf/yum/rpm

見てのように、メジャーどころは一通り抑えているので、Linux利用者のほとんどは利用できるのではないかと思う。
今回はこれを使ってどれだけ脆弱性が含まれているかを確認する。

検証

インストール

インストール方法はこちらに書かれている。
ディストリビューションによってインストール方法が異なるが、インストールスクリプトを使ってバイナリをインストールすればどこの環境でも間違いなく入ると思う。
ということでインストールスクリプトでインストールする。
rootで作業するため、rootに切り替える。

sudo su -

インストールする。

curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sh -s -- -b /usr/local/bin v0.45.0

問題なければ以下でバージョンが確認できるようになる。

# trivy version
Version: 0.45.0

脆弱性スキャン

OSに対するスキャンはFilesystemに対して実行する形になる。
OS全体なので、ファイルシステムとしてはrootディレクトリを指定する形となる。
今回はしばらく放置していたubuntu20.04に対して実行する。
なお、対象が多いとタイムアウトに引っかかるため、--timeoutでタイムアウトを延長する。以下実行コマンドとなる。

# trivy fs / --timeout 120m

今回の検証環境では30分くらいで結果を得た。
なお、パッケージの脆弱性スキャンの結果のみを知りたい場合は--scanners vulnをつけて実行するとよい。これだと1分程度で結果が得られる。
出力結果は以下のような感じとなった。

2023-09-05T10:03:46.537Z	INFO	Vulnerability scanning is enabled
2023-09-05T10:03:46.540Z	INFO	Secret scanning is enabled
2023-09-05T10:03:46.541Z	INFO	If your scanning is slow, please try '--scanners vuln' to disable secret scanning
2023-09-05T10:03:46.541Z	INFO	Please see also https://aquasecurity.github.io/trivy/v0.45/docs/scanner/secret/#recommendation for faster secret detection
2023-09-05T10:28:29.013Z	INFO	Detected OS: ubuntu
2023-09-05T10:28:29.024Z	INFO	Detecting Ubuntu vulnerabilities...
2023-09-05T10:28:29.214Z	INFO	Number of language-specific files: 3
2023-09-05T10:28:29.214Z	INFO	Detecting gomod vulnerabilities...
2023-09-05T10:28:29.251Z	INFO	Detecting pip vulnerabilities...

wdc2-jumphost (ubuntu 20.04)

Total: 1001 (UNKNOWN: 0, LOW: 441, MEDIUM: 548, HIGH: 12, CRITICAL: 0)

┌─────────────────────────────────┬──────────────────┬──────────┬──────────┬─────────────────────────────────┬───────────────┬──────────────────────────────────────────────────────────────┐
│             Library             │  Vulnerability   │ Severity │  Status  │        Installed Version        │ Fixed Version │                            Title                             │
├─────────────────────────────────┼──────────────────┼──────────┼──────────┼─────────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ accountsservice                 │ CVE-2012-6655    │ LOW      │ affected │ 0.6.55-0ubuntu12~20.04.6        │               │ accountsservice: local encrypted password disclosure when    │
│                                 │                  │          │          │                                 │               │ changing password                                            │
│                                 │                  │          │          │                                 │               │ https://avd.aquasec.com/nvd/cve-2012-6655                    │
├─────────────────────────────────┼──────────────────┼──────────┤          ├─────────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ apache2-utils                   │ CVE-2019-17567   │ MEDIUM   │          │ 2.4.41-4ubuntu3.14              │               │ httpd: mod_proxy_wstunnel tunneling of non Upgraded          │
│                                 │                  │          │          │                                 │               │ connection                                                   │
│                                 │                  │          │          │                                 │               │ https://avd.aquasec.com/nvd/cve-2019-17567                   │
├─────────────────────────────────┼──────────────────┤          │          ├─────────────────────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
：（省略）

全体として脆弱性が1001件あり、またどういうパッケージにどういう脆弱性が含まれているかも分かる。
今回は幸いにもCRITICALは含まれなかった。
パッケージをupgradeすると結果がどう変わるか確認する。手始めにupgradeして、不要なパッケージも削除する。

apt-get update -y
apt-get upgrade -y
apt autoremove

スキャンする。

trivy fs / --timeout 120m --scanners vuln

以下のように少し減った。パッケージの更新はセキュリティ対策の1つとしては有効かと思われる。

Total: 739 (UNKNOWN: 0, LOW: 329, MEDIUM: 403, HIGH: 7, CRITICAL: 0)

ちなみにそれでも結構な数の問題が残っているように思えるが、これに対して対策出来るかどうかを見るには--ignore-unfixedオプションをつけるとよい。
これは修正版が出ていない場合、脆弱性としてカウントしないオプションで、これを付けても表示されるパッケージは対策可能なパッケージとなる。
確認してみる。

# trivy fs / --timeout 120m --scanners vuln --ignore-unfixed
2023-09-05T23:39:50.750Z	INFO	Vulnerability scanning is enabled
2023-09-05T23:40:00.013Z	INFO	Detected OS: ubuntu
2023-09-05T23:40:00.014Z	INFO	Detecting Ubuntu vulnerabilities...
2023-09-05T23:40:00.097Z	INFO	Number of language-specific files: 3
2023-09-05T23:40:00.097Z	INFO	Detecting pip vulnerabilities...
2023-09-05T23:40:00.103Z	INFO	Detecting gomod vulnerabilities...

wdc2-jumphost (ubuntu 20.04)

Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)

当たり前だが、パッケージを最新版にしたので、対策できるものは全て取り込んでおり、検出できる脆弱性はゼロ件となった。

なお、手元にPhoton1.0(2019年リリース)があったので、試しにこちらでも実行してみた。

2023-09-05T09:50:53.913Z	INFO	Detected OS: photon
2023-09-05T09:50:53.913Z	INFO	Detecting Photon Linux vulnerabilities...
2023-09-05T09:50:53.923Z	INFO	Number of language-specific files: 0
2023-09-05T09:50:53.960Z	WARN	This OS version is no longer supported by the distribution: photon 1.0
2023-09-05T09:50:53.960Z	WARN	The vulnerability detection may be insufficient because security updates are not provided

WARNの部分を見ると分かるが、このPhoton1.0はサポート期限が切れていることが分かる。
また、脆弱性としては以下の件数が報告された。

Total: 693 (UNKNOWN: 0, LOW: 26, MEDIUM: 312, HIGH: 287, CRITICAL: 68)

CRITICALが68件もある上、セキュリティアップデートが受けられないとなると結構ヤバい。
古いOSの利用は止めましょう。