概要
Trivyは、次の3種類のセキュリティ問題を検出が可能。
参考：https://aquasecurity.github.io/trivy/
- 脆弱性
- OSパッケージ（Alpine、Red Hat Universal Base Image、Red Hat Enterprise Linux、CentOS、AlmaLinux、Rocky Linux、CBL-Mariner、Oracle Linux、Debian、Ubuntu、Amazon Linux、openSUSE Leap、SUSE Enterprise Linux、Photon OS、Distroless）
- 言語固有のパッケージ（Bundler、Composer、Pipenv、Poetry、npm、yarn、Cargo、NuGet、Maven、Go）
- 設定ミス
- Kubernetes
- Docker
- terraform
- CloudFormation
- シークレットキー
- AWSアクセスキー
- GCPサービスアカウント
- GitHubパーソナルアクセストークン
コンテナイメージの脆弱性スキャン手順
イメージ名を指定してスキャン
- TrivyイメージをPull
docker pull aquasec/trivy
- スキャン実行
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
-v [YOUR_CACHE_DIR]:/root/.cache/ aquasec/trivy image [YOUR_IMAGE_NAME]
例
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
-v $HOME/Library/Caches:/root/.cache/ aquasec/trivy image python:3.6-alpine
全てのイメージをスキャン
- 検査対象のコンテナリストを環境変数に入れる
全てのコンテナを対象とする
LIST="`docker images --format '{{.Repository}}:{{.Tag}}' | sed -e 's/[\r\n]\+//g'`"
export CON_LIST="${LIST//$'\n'/ }"
printenv | grep CON_LIST
一部のコンテナを対象とする
LIST="`docker images --format '{{.Repository}}:{{.Tag}}' '<コンテナ名>/*' | sed -e 's/[\r\n]\+//g'`"
export CON_LIST="${LIST//$'\n'/ }"
printenv | grep CON_LIST
- スキャン用スクリプト作成
vi scan.sh
#!/bin/sh
LENGTH=`echo $CON_LIST | tr ' ' '\n' | wc -l`
d=`date +%Y%m%d`
mkdir -p /app/trivy_result/${d}
if [ "$1" = "-j" -o "$1" = "--json" ]; then
for i in `seq $LENGTH`
do
ELEMENT=`echo $CON_LIST | cut -d ' ' -f $i`
trivy image --timeout 10m -f json $ELEMENT > app/trivy_result/${d}/${ELEMENT##*/}.json
done
else
for i in `seq $LENGTH`
do
ELEMENT=`echo $CON_LIST | cut -d ' ' -f $i`
trivy image --timeout 10m $ELEMENT > app/trivy_result/${d}/${ELEMENT##*/}.txt
done
fi
- 実行権限の付与
chmod +x scan.sh
- スキャン実行
以下のコマンドを実行してスキャンを実行する。 結果は、コマンドを実行したディレクトリの./trivy_result/yyyymmddに出力される
docker run -v /var/run/docker.sock:/var/run/docker.sock \
-v /tmp/Caches:/root/.cache/ \ # 脆弱性DB等キャッシュ保存先
-v $PWD:/app \ # scan.shをマウントする
-e CON_LIST \ # 検査対象のコンテナ一覧を環境変数として渡す
--entrypoint "" \
aquasec/trivy sh -c "app/scan.sh"
例 結果をTable形式で出力
docker run -v /var/run/docker.sock:/var/run/docker.sock \
-v /tmp/Caches:/root/.cache/ \
-v $PWD:/app \
-e CON_LIST \
--entrypoint "" \
aquasec/trivy sh -c "app/scan.sh"
例 結果をJson形式で出力
docker run -v /var/run/docker.sock:/var/run/docker.sock \
-v /tmp/Caches:/root/.cache/ \
-v $PWD:/app \
-e CON_LIST \
--entrypoint "" \
aquasec/trivy sh -c "app/scan.sh -j"
結果
python:3.6-alpineをスキャンした際の結果は以下の通り
python:3.6-alpine (alpine 3.15.0)
=================================
Total: 23 (UNKNOWN: 0, LOW: 0, MEDIUM: 2, HIGH: 11, CRITICAL: 10)
┌──────────────┬────────────────┬──────────┬───────────────────┬───────────────┬────────────────────────────────────────────────────────────┐
│ Library │ Vulnerability │ Severity │ Installed Version │ Fixed Version │ Title │
├──────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ busybox │ CVE-2022-28391 │ CRITICAL │ 1.34.1-r3 │ 1.34.1-r5 │ busybox: remote attackers may execute arbitrary code if │
│ │ │ │ │ │ netstat is used │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-28391 │
├──────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ expat │ CVE-2022-22822 │ CRITICAL │ 2.4.1-r0 │ 2.4.3-r0 │ expat: Integer overflow in addBinding in xmlparse.c │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-22822 │
│ ├────────────────┤ │ │ ├────────────────────────────────────────────────────────────┤
│ │ CVE-2022-22823 │ │ │ │ expat: Integer overflow in build_model in xmlparse.c │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-22823 │
│ ├────────────────┤ │ │ ├────────────────────────────────────────────────────────────┤
│ │ CVE-2022-22824 │ │ │ │ expat: Integer overflow in defineAttribute in xmlparse.c │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-22824 │
│ ├────────────────┤ │ ├───────────────┼────────────────────────────────────────────────────────────┤
│ │ CVE-2022-23852 │ │ │ 2.4.4-r0 │ expat: Integer overflow in function XML_GetBuffer │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-23852 │
│ ├────────────────┤ │ │ ├────────────────────────────────────────────────────────────┤
│ │ CVE-2022-23990 │ │ │ │ expat: integer overflow in the doProlog function │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-23990 │
├──────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ expat │ CVE-2022-25235 │ CRITICAL │ 2.4.1-r0 │ 2.4.5-r0 │ expat: Malformed 2- and 3-byte UTF-8 sequences can lead to │
│ │ │ │ │ │ arbitrary code... │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-25235 │
│ ├────────────────┤ │ │ ├────────────────────────────────────────────────────────────┤
│ │ CVE-2022-25236 │ │ │ │ expat: Namespace-separator characters in "xmlns[:prefix]" │
│ │ │ │ │ │ attribute values can lead to arbitrary code... │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-25236 │
├──────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ expat │ CVE-2022-25315 │ CRITICAL │ 2.4.1-r0 │ 2.4.5-r0 │ expat: Integer overflow in storeRawNames() │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-25315 │
├──────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ expat │ CVE-2021-45960 │ HIGH │ 2.4.1-r0 │ 2.4.3-r0 │ expat: Large number of prefixed XML attributes on a single │
│ │ │ │ │ │ tag can... │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2021-45960 │
├──────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ expat │ CVE-2021-46143 │ HIGH │ 2.4.1-r0 │ 2.4.3-r0 │ expat: Integer overflow in doProlog in xmlparse.c │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2021-46143 │
│ ├────────────────┤ │ │ ├────────────────────────────────────────────────────────────┤
│ │ CVE-2022-22825 │ │ │ │ expat: Integer overflow in lookup in xmlparse.c │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-22825 │
│ ├────────────────┤ │ │ ├────────────────────────────────────────────────────────────┤
│ │ CVE-2022-22826 │ │ │ │ expat: Integer overflow in nextScaffoldPart in xmlparse.c │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-22826 │
│ ├────────────────┤ │ │ ├────────────────────────────────────────────────────────────┤
│ │ CVE-2022-22827 │ │ │ │ expat: Integer overflow in storeAtts in xmlparse.c │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-22827 │
│ ├────────────────┤ │ ├───────────────┼────────────────────────────────────────────────────────────┤
│ │ CVE-2022-25314 │ │ │ 2.4.5-r0 │ expat: integer overflow in copyString() │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-25314 │
│ ├────────────────┼──────────┤ │ ├────────────────────────────────────────────────────────────┤
│ │ CVE-2022-25313 │ MEDIUM │ │ │ expat: stack exhaustion in doctype parsing │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-25313 │
├──────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ krb5-libs │ CVE-2021-37750 │ MEDIUM │ 1.19.2-r4 │ 1.19.3-r0 │ krb5: NULL pointer dereference in process_tgs_req() in │
│ │ │ │ │ │ kdc/do_tgs_req.c via a FAST inner... │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2021-37750 │
├──────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ libcrypto1.1 │ CVE-2022-0778 │ HIGH │ 1.1.1l-r7 │ 1.1.1n-r0 │ openssl: Infinite loop in BN_mod_sqrt() reachable when │
│ │ │ │ │ │ parsing certificates │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-0778 │
├──────────────┤ │ ├───────────────────┼───────────────┤ │
│ libretls │ │ │ 3.3.4-r2 │ 3.3.4-r3 │ │
│ │ │ │ │ │ │
│ │ │ │ │ │ │
├──────────────┤ │ ├───────────────────┼───────────────┤ │
│ libssl1.1 │ │ │ 1.1.1l-r7 │ 1.1.1n-r0 │ │
│ │ │ │ │ │ │
│ │ │ │ │ │ │
├──────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ ssl_client │ CVE-2022-28391 │ CRITICAL │ 1.34.1-r3 │ 1.34.1-r5 │ busybox: remote attackers may execute arbitrary code if │
│ │ │ │ │ │ netstat is used │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-28391 │
├──────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ xz-libs │ CVE-2022-1271 │ HIGH │ 5.2.5-r0 │ 5.2.5-r1 │ gzip: arbitrary-file-write vulnerability │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-1271 │
├──────────────┼────────────────┼──────────┼───────────────────┼───────────────┼────────────────────────────────────────────────────────────┤
│ zlib │ CVE-2018-25032 │ HIGH │ 1.2.11-r3 │ 1.2.12-r0 │ zlib: A flaw found in zlib when compressing (not │
│ │ │ │ │ │ decompressing) certain inputs... │
│ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2018-25032 │
└──────────────┴────────────────┴──────────┴───────────────────┴───────────────┴────────────────────────────────────────────────────────────┘
Python (python-pkg)
===================
Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)