アプリに含まれるライブラリが原因で“脆弱性あり”に判定される「偽陽性」問題【海外セキュリティ】

[deep_one]

使わないライブラリ（しかも脆弱性あり）を含んでいるのは十分に脆弱なので「偽」とは思えない。

[shin0O]

偽じゃあないと思う

[a-kuma3]

依存関係の解決がとても楽になってしまった弊害か。依存するライブラリの数を減らす、というモチベーションは過去のこと

[muuran16]

ZAPとかの診断ツールで見るかるのはまだ良い方。攻撃に条件があるとそういったツールではほぼ見つけられないので、依存関係スキャナーを入れたほうが良い。

[kazokmr]

偽陽性でも見つからないより見つかった方が信頼度は高いと思う反面、検出されたら影響範囲の確認作業は必要だからノイズは少ない方が良いとも思う。

[JULY]

アプリから見て、孫ライブラリーに脆弱性がある場合に偽陽性という話。まぁ、おおよそ偽陽性だと思われるけど、親のライブラリに子の脆弱性を突くパスが無いとは言えないから、「明らかに『偽陽性』」は言い過ぎ。