はじめに

ReactのRSC（React Server Components）の脆弱性を最近、耳にした。
で、外部公開していないけど自宅のシステムも脆弱性が気になり始めた。

ライブラリをnpm管理の場合、npm audit で調べられるけど他の管理手法の場合、どうやって調べるんだろう。
とふと気になり、Geminiに色々聞いてみた。

ちなみに、自宅のシステムは、以下のような感じ。

npmの場合

package.json
package-lock.json

npm audit

npm audit fix

OR

npm audit fix --force

標準ではなさそう。
Geminiに聞いたら、「bundler-audit」を勧められる

Gemfile
Gemfile.lock

group :development do
  gem "bundler-audit"
end

bundle-audit check

修正コマンドは無し。

Gemfile.lock を確認して、対象ライブラリを確認。

bundle update XXXX

こちらも標準ではなさそう。
Geminiに聞いたら、「security-checker」を勧められる
けど、「security-checker」をGoogle検索したら、以下の記事に出会う。

どうやら「Composer2.4」からは、npmと同じくauditコマンドがあるらしい。

composer.json
composer.lock

composer audit

修正コマンドは無し。

composer.lock を確認して、対象ライブラリを確認。

composer update XXXX

こちらも標準では無さそうなので、Geminiに相談したら「dependencycheck」を勧められる。

build.gradle

	id 'org.owasp.dependencycheck' version '12.1.9'

gradlew dependencyCheckAnalyze

こちらも自動ではないので、依存性を確認してバージョンを修正

gradlew dependencies

誤検知っぽいのもあるかもしれない？と思うので、その辺りは注意が必要かも。
（1個バージョンアップで解決できないものがあって、Geminiに相談したら誤検知かも？というお話。そのうち、ちゃんと調べる。）

あと、裏側の処理をちゃんと把握していないので、どの頻度で脆弱性情報が更新されている？なども分かっていないので、その辺りもちゃんと調べないとな。ってのも思った。

便利だけど、脆弱性の最新情報の別途キャッチは必要と思った。