Red Hat Summit第4章 既知の問題
Red Hat Trusted Profile Analyzer (RHTPA) のこのリリースで解決された既知の問題:
このリリースで見つかった未解決の既知の問題のリスト:
- 同じ Red Hat OpenShift クラスターでの並列 RHTPA インスタンスの実行はサポートされていない
- RHTPA Operator は、クラスタースコープのサービスアカウントおよびロールマッピングを使用して適切に動作します。RHTPA のインスタンスを複数実行すると、他の namespace で既存のカスタムリソース(CR)で調整の問題が発生する可能性があり、環境が不安定になる可能性があります。このため、同じ Red Hat OpenShift クラスターでの並列 RHTPA インスタンスの実行は、Red Hat ではサポートされていません。
- 大量のアイテムを処理する場合、一括 SBOM のアップロードが部分的に失敗する
- RHTPA API 経由でソフトウェアの BOM (Bill of Materials)を一括でアップロードする場合、インポーターはサポートする S3 またはオブジェクトストレージに大量の同時要求を送信する可能性があります。これにより、インポーターが大量の項目を処理している場合にエラーが発生する可能性があります。一括取り込み時にこれらのエラーを回避するには、SBOMS またはその他のインポーターのアップロード時に並行してアイテムを処理しないようにインポーターを一時的に停止またはスケールダウンします。その結果、すべてのSBOMがTPAシステムに正常にインポートされます。
- より高いスコアが利用可能な場合に、最初の脆弱性スコアが選択されます。
- 脆弱性に複数のアドバイザリーがある場合は、スコアが最も高い代わりに、最初の Common Vulnerability Scoring System (CVSS)スコアが選択されます。現在、この問題に対する回避策はありません。
- RHTPA 2.2 より前にアップロードされた Zstandard-compressed ファイルのダウンロードに失敗する
-
RHTPA 2.2 にアップグレードすると、ストレージ圧縮を Zstandard (
storage.compression=zstd)に設定してアップロードした既存の Software Bill of Materials (SBOM)ドキュメントとアドバイザリーファイルをダウンロードできなくなります。これは、RHTPA 2.1.1 以前で使用される古い Zstandard (Zstd)圧縮と、バージョン 2.2 で導入された新しい Zstd ライブラリー間の非互換性が原因です。影響を受けるダウンロード試行は、ERR_INCOMPLETE_CHUNKED_ENCODINGエラーメッセージを返します。現在、使用可能な回避策はありません。
- スキーマ 5.2.0 を使用する脆弱性の CVE インポーターエラー
-
新しい Common Vulnerabilities and Exposures (CVE)スキーマの バージョン 5.2.0 の実装が最近行われました。CVE リストプロジェクト、Trusted Profile Analyzer の CVE データインポーターは、脆弱性情報のフォーマットにこのスキーマを使用します。エラーメッセージで新しいスキーマロードを使用する脆弱性：
data did not match any variant of untaged enum。現在、この問題に対する回避策はありません。
- machine-learning モデルを含む SBOM ドキュメントのパッケージ詳細が欠落しています
- Software Bill of Materials (SBOM)取り込みプロセスはコンポーネントタイプ間で識別されないため、マシンリーポーティングモデルはパッケージとして保存されます。SBOM ドキュメントを機械レーティングモデルで送信すると、そのコンポーネントとその親の SBOM 間の関係は RHTPA のデータモデルに反映されません。これにより、データが RHTPA のユーザーインターフェイス内に正しく表示されなくなります。この問題を回避するには、SBOM Packages画面で機械レーティングモデルコンポーネントを確認できます。SBOM から package の関係はユーザーインターフェイス内では確認できますが、その逆はできません。
- 暗号化メソッドがパッケージ名として表示されます。
- Software Bill of Materials (SBOM)取り込みプロセスは、コンポーネントタイプを区別しません。暗号化アセットを含む SBOM ドキュメントをアップロードすると、SBOM パッケージページに表示される異常な外観が発生する可能性があります。パッケージ名フィールドには、暗号化メソッド名が入力されます。現在、この問題に対する回避策はありません。
- ライセンス情報は SPDX 仕様標準に準拠していません
-
ソフトウェア部品表 (SBOM) のパッケージまたはコンポーネント内に埋め込まれたライセンス情報は、SPDX 仕様 standards に準拠していません。この問題のため、RHTPA はパッケージ URL ライセンスの詳細を
NOASSERTIONとしてマークします。現在、この問題に対する回避策はありません。
- 自己署名証明書を使用するカスタム Quay ソースではデータがインポートされません
- 自己署名証明書を使用してカスタム Quay ソースを設定すると、データは RHTPA にインポートされません。これは、データインポーターのトラストアンカーが欠落しているためです。この問題の回避策は、ルート CA 証明書をインポーター Pod にマウントすることです。
- OpenShift Data Foundation 使用時の
IncompleteBodyエラー -
Red Hat の OpenShift Data Foundation は
aws-sdkRust クライアントを使用する圧縮ロジックをサポートしていません。OpenShift Data Foundation を RHTPA のオブジェクトストアとして使用すると、IncompleteBodyエラーメッセージとともに409応答コードが返されることがあります。この問題は、OpenShift Data Foundation コードベース内に存在します。この問題を回避するために、OpenShift Data Foundation を使用するときに、RHTPA のソースコードから圧縮ロジック機能を削除しました。この回避策により、ソフトウェア部品表 (SBOM) および Vulnerability Exploitability eXchange (VEX) ドキュメントがエラーなしでアップロードされます。
- 多数の脆弱性が報告されてしまいます
- アドバイザリーと大規模なソフトウェア部品表 (SBOM) ドキュメント間の脆弱性データを相関させるロジックが原因で、ページの読み込みが遅くなり、多数の脆弱性が表示される場合があります。現在、この問題に対する回避策はありません。
- SBOM バージョンで検索すると、一貫性のない結果が返されます
-
Software Bill of Materials (SBOM) のバージョン番号を検索条件として使用すると、一貫性のない結果が返される可能性があります。場合によっては、検索エンジンは、ファイル名または
document_idフィールドにバージョン番号を含む SBOM バージョン番号を検出することがあります。それ以外の場合、有効な SBOM バージョン番号があっても、検索エンジンで一致する SBOM バージョンが検出されません。現在、この問題に対する回避策はありません。
- ロードバランサーは、大規模なアップロード中にアイドル状態の接続を破棄する可能性がある
- RHTPA API を使用して 350 MB などの大規模なデータセットをアップロードする場合、ロードバランサーはアイドル状態の場合に接続を切断する可能性があります。この場合、アップロードは完了しますが、クライアントは応答を受信しません。これを防ぐには、アップロードと応答の両方が成功するように、分割された部分(10-20 MB など)に分割します。
- CPE バージョン 2.3 はサポートされていません
- 文字列バインディングでフォーマットされた Common Platform Enumeration (CPE) 仕様と Software Bill of Materials (SBOM) は、RHTPA コンソールおよびライセンス情報のエクスポート時に正しくレンダリングされません。現在、この問題に対する回避策はありません。
- Trusted Profile Analyzer 2.2 には Helm バージョン 3.17 以降が必要です
- RHTPA 2.2 をインストールするには、Helm バージョン 3.17 以降を使用して、Red Hat OpenShift Container Platform に Trusted Profile Analyzer サービスをデプロイする必要があります。
- CVSS v4 スコアはサポートされていません。
- 現在、RHTPA では Common Vulnerability Scoring System (CVSS) バージョン 4 スコアはサポートされていません。
- 環境または時間スコアを持つアドバイザリーのアップロードに失敗します
- Common Vulnerability Scoring System (CVSS) ベクトルに環境スコアまたは時間スコアが含まれる Common Security Advisory Framework (CSAF) ドキュメントは、RHTPA にアップロードするときに失敗する可能性があります。このアップロードの失敗が原因で、RHTPA コンソール内でアドバイザリーを表示できません。現在、この問題に対する回避策はありません。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}