2019年6月14日号 Ubuntuにおける「バージョンによる脆弱性判定」の正しいアプローチ、WSL2のプレビュー開始 | gihyo.jp

Ubuntu Weekly Topics 2019年6月14日号Ubuntuにおける「バージョンによる脆弱性判定」の正しいアプローチ、WSL2のプレビュー開始 Ubuntuにおける「バージョンによる脆弱性判定」の正しいアプローチ ubuntu-serverメーリングリストにおいて、少しだけ興味深いやりとりが投稿されています。 投稿者の困っている状況を要約すると、「⁠とあるUbuntu環境でセキュリティスキャナを実行したところ、すでにUbuntuでは対処済みになっている特定の脆弱性が存在するものと指摘された。おそらくパッケージのバージョン番号文字列だけを単純にチェックし、upstreamで『解決された』とされるバージョン未満であることが原因だと思うが、コンプライアンス上、カウンターになる十分な証拠が必要になっている」というものです。これは非常によくあるシチュエーションで、原因はセキュリティス

[kz78]

"そのような（自称）コンサルタントなり（自称）セキュリティスキャナは，虫垂炎の手術において心臓と盲腸の区別がつかない外科医が執刀するのに匹敵するリスクをその環境にもたらしえます"

[rAdio]

あるある…。

[pmakino]

「セキュリティスキャナが壊滅的なクオリティしかないぽんこつ…「ツールが出した結果がfalse positiveであることを様々な方法で証明せざるをえないエンジニア」という壊滅的な構図が発生」