3.2. Central

このソースはリリース 4.6 以降で使用されます。このソースは、脆弱性データを Vulnerability Exploitability eXchange (VEX) 形式で提供します。RHACS は VEX の利点を活用して、脆弱性データの初期読み込みに必要な時間と脆弱性データの保存に必要な領域を大幅に削減します。VEX は OVAL よりも精度も向上しています。

RHACS バージョン 4.5 などの OVAL を使用する RHACS バージョンとバージョン 4.6 などの VEX を使用するバージョンでスキャンする場合は、RHACS でリストされる脆弱性の数が異なる場合があります。たとえば、RHACS では、ステータスが "under investigation" の脆弱性は表示されなくなりましたが、これらの脆弱性は OVAL データを使用する以前のバージョンには含まれていました。

Red Hat Ecosystem Catalog からのコンテナーまたはその上に構築されたコンテナーの場合、RHACS は Red Hat の VEX データからの脆弱性のみを表示するオプションを提供します。Red Hat Security チームがそれらのイメージに含まれる脆弱性を精査し、その結果を VEX で報告しているため、Red Hat イメージの VEX データは最も正確です。Red Hat がイメージには適用されないと判断した脆弱性であっても、OSV などの他の脆弱性ソースでは報告されることがあります。これにより、脆弱性の結果に誤検出が発生する可能性があります。Red Hat イメージに VEX データのみを使用する設定を有効にすると、このような誤検出が最小限に抑えられます。

Red Hat コンテナーに VEX データを使用するオプションは、デフォルトでは無効になっています。このオプションを有効にするには、Scanner V4 Matcher で環境変数 ROX_SCANNER_V4_RED_HAT_LAYERS_RED_HAT_VULNS_ONLY を true に設定します。まれに、このオプションを使用すると、有効な脆弱性がスキャン結果に表示されなかったり、検出漏れが発生したりする可能性があることに注意してください。たとえば、Red Hat はライフサイクルが終了した製品の脆弱性を追跡しません。また、Red Hat の VEX データには、多くのミドルウェア製品の正確なセキュリティーデータ が欠けていることにも注意してください。

OVAL、Common Security Advisory Framework バージョン 2.0 (CSAF)、VEX の使用に関する情報などの Red Hat セキュリティーデータの詳細は、The future of Red Hat security data を参照してください。

これは、Go、Java、JavaScript、Python、Ruby などの言語関連の脆弱性に使用されます。このソースは、GitHub Security Advisory (GHSA) ID など、脆弱性の CVE ID 以外の脆弱性 ID を提供する場合があります。

ベンダーが情報を提供していない場合に情報のギャップを埋めるなど、さまざまな目的で使用されます。たとえば、Alpine は、詳細、CVSS スコア、重大度、公開日を提供していません。

Scanner V4 Indexer は、次のファイルを使用して Red Hat コンテナーのインデックスを作成します。