Trivyはセキュリティスキャナー

# 目的
SBOM周りの理解を深めます。
最近、SBOMと言うキーワードはよく目にしますので、SBOM情報が取れるTrivyを検証してみます。

# 手段
パブリックな Container Image をスキャンして、SBOM 情報を確認します。

# SBOMとは
> SBOM（Software Bill of Materials、ソフトウェア部品表）とは、製品に含むソフトウェアを構成するコンポーネントや互いの依存関係、ライセンスデータなどをリスト化した一覧表です。OSS（Open Source Software）のライセンス管理や脆弱性の管理、ソフトウェアサプライチェーンのリスク管理等の用途で利用されます
[引用元](https://www.nri-secure.co.jp/glossary/sbom)

上記引用元は綺麗に纏まっています。要するに、ソフトウェア部品表です。
例えば、特定の製品に含まれるソフトウェアを構成するコンポーネントや依存関係・ライセンスをリスト化した一覧表になります。「車輪の再発明」は有名な言葉ですが、開発でOSS/ライブラリを活用しまくることで、製品に含まれる一独自ソースコードは一部になります。

そのため、活用している OSS やライブラリ等のライセンス・脆弱性管理をちゃんとしましょうという流れです。
Solarwinds事件は世の中でSBOMと良く言われるようになった象徴的な事件ですね。

# Trivyとは
TrivyはOSSの包括的で多彩なセキュリティスキャナーです。  
スキャン対象は以下の通り。  
  
- Container Image
- Filesystem
- Git Repository(remote)
- Virtual Machine Image
- Kubernetes
- AWS
  
スキャン内容は以下の通り。  
  
- OS packages and software dependencies in use(SBOM)
- Known vulnerabilities(CVEs)
- IaC issues and misconfigurations
- Sensitive information and secrets
- Software licenses
  
ソフトウェア配布方式は以下の通り。  
  
- `brew install trivy`
- `docker run aquasec/trivy`
- Download binary

##### 公式ドキュメント
- [aquasecurity/trivy](https://github.com/aquasecurity/trivy)
- [aqua trivy](https://trivy.dev/)
  
# とりあえず動かしてみる
今回は dockerhub 上で公開されている nginx:latest をスキャンしてみます。

```sh
# docker images
REPOSITORY         TAG           IMAGE ID       CREATED         SIZE
nginx              latest        448a08f1d2f9   2 weeks ago     142MB
aquasec/trivy      latest        76074e0542a3   3 weeks ago     207MB
```

約200MBでした。続いて、実行してみます。

```sh:Usage
Usage:
  trivy [global flags] command [flags] target
  trivy [command]

Examples:
  # Scan a container image
  $ trivy image python:3.4-alpine

  # Scan a container image from a tar archive
  $ trivy image --input ruby-3.1.tar

  # Scan local filesystem
  $ trivy fs .

  # Run in server mode
  $ trivy server

Available Commands:
  aws         [EXPERIMENTAL] Scan AWS account
  completion  Generate the autocompletion script for the specified shell
  config      Scan config files for misconfigurations
  filesystem  Scan local filesystem
  help        Help about any command
  image       Scan a container image
  kubernetes  [EXPERIMENTAL] Scan kubernetes cluster
  module      Manage modules
  plugin      Manage plugins
  repository  Scan a remote repository
  rootfs      Scan rootfs
  sbom        Scan SBOM for vulnerabilities
  server      Server mode
  version     Print the version
  vm          [EXPERIMENTAL] Scan a virtual machine image

Flags:
      --cache-dir string          cache directory (default "/root/.cache/trivy")
  -c, --config string             config path (default "trivy.yaml")
  -d, --debug                     debug mode
  -f, --format string             version format (json)
      --generate-default-config   write the default config to trivy-default.yaml
  -h, --help                      help for trivy
      --insecure                  allow insecure server connections
  -q, --quiet                     suppress progress bar and log output
      --timeout duration          timeout (default 5m0s)
  -v, --version                   show version

Use "trivy [command] --help" for more information about a command.
```

```sh:docker run aquasec/trivy:latest image nginx:latest
nginx:latest (debian 11.7)
==========================
Total: 143 (UNKNOWN: 0, LOW: 91, MEDIUM: 20, HIGH: 27, CRITICAL: 5)

┌──────────────────┬──────────────────┬──────────┬─────────────────────────┬───────────────────┬──────────────────────────────────────────────────────────────┐
│     Library      │  Vulnerability   │ Severity │    Installed Version    │   Fixed Version   │                            Title                             │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ apt              │ CVE-2011-3374    │ LOW      │ 2.2.4                   │                   │ It was found that apt-key in apt, all versions, do not       │
│                  │                  │          │                         │                   │ correctly...                                                 │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2011-3374                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ bash             │ CVE-2022-3715    │ HIGH     │ 5.1-2+deb11u1           │                   │ a heap-buffer-overflow in valid_parameter_transform          │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-3715                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ bsdutils         │ CVE-2022-0563    │ LOW      │ 1:2.36.1-8+deb11u1      │                   │ util-linux: partial disclosure of arbitrary files in chfn    │
│                  │                  │          │                         │                   │ and chsh when compiled...                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ coreutils        │ CVE-2016-2781    │          │ 8.32-4+b1               │                   │ coreutils: Non-privileged session can escape to the parent   │
│                  │                  │          │                         │                   │ session in chroot                                            │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2016-2781                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2017-18018   │          │                         │                   │ coreutils: race condition vulnerability in chown and chgrp   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2017-18018                   │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ curl             │ CVE-2023-23914   │ CRITICAL │ 7.74.0-1.3+deb11u7      │                   │ HSTS ignored on multiple requests                            │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-23914                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-27536   │          │                         │                   │ GSS delegation too eager connection re-use                   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-27536                   │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2022-42916   │ HIGH     │                         │                   │ curl: HSTS bypass via IDN                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-42916                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2022-43551   │          │                         │                   │ curl: HSTS bypass via IDN                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-43551                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-27533   │          │                         │                   │ TELNET option IAC injection                                  │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-27533                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-27534   │          │                         │                   │ SFTP path ~ resolving discrepancy                            │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-27534                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-27535   │          │                         │                   │ FTP too eager connection reuse                               │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-27535                   │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-23915   │ MEDIUM   │                         │                   │ HSTS amnesia with --parallel                                 │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-23915                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-27538   │          │                         │                   │ SSH connection too eager reuse still                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-27538                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-28321   │          │                         │                   │ IDN wildcard match may lead to Improper Cerificate           │
│                  │                  │          │                         │                   │ Validation                                                   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-28321                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-28322   │          │                         │                   │ more POST-after-PUT confusion                                │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-28322                   │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2021-22922   │ LOW      │                         │                   │ curl: Content not matching hash in Metalink is not being     │
│                  │                  │          │                         │                   │ discarded                                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-22922                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2021-22923   │          │                         │                   │ curl: Metalink download sends credentials                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-22923                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-28320   │          │                         │                   │ siglongjmp race condition may lead to crash                  │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-28320                   │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ e2fsprogs        │ CVE-2022-1304    │ HIGH     │ 1.46.2-2                │                   │ e2fsprogs: out-of-bounds read/write via crafted filesystem   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-1304                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ gpgv             │ CVE-2022-3219    │ LOW      │ 2.2.27-2+deb11u2        │                   │ gnupg: denial of service issue (resource consumption) using  │
│                  │                  │          │                         │                   │ compressed packets                                           │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-3219                    │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libapt-pkg6.0    │ CVE-2011-3374    │          │ 2.2.4                   │                   │ It was found that apt-key in apt, all versions, do not       │
│                  │                  │          │                         │                   │ correctly...                                                 │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2011-3374                    │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libblkid1        │ CVE-2022-0563    │          │ 2.36.1-8+deb11u1        │                   │ util-linux: partial disclosure of arbitrary files in chfn    │
│                  │                  │          │                         │                   │ and chsh when compiled...                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libc-bin         │ CVE-2010-4756    │          │ 2.31-13+deb11u6         │                   │ glibc: glob implementation can cause excessive CPU and       │
│                  │                  │          │                         │                   │ memory consumption due to...                                 │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2010-4756                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2018-20796   │          │                         │                   │ glibc: uncontrolled recursion in function                    │
│                  │                  │          │                         │                   │ check_dst_limits_calc_pos_1 in posix/regexec.c               │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2018-20796                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2019-1010022 │          │                         │                   │ glibc: stack guard protection bypass                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-1010022                 │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2019-1010023 │          │                         │                   │ glibc: running ldd on malicious ELF leads to code execution  │
│                  │                  │          │                         │                   │ because of...                                                │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-1010023                 │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2019-1010024 │          │                         │                   │ glibc: ASLR bypass using cache of thread stack and heap      │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-1010024                 │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2019-1010025 │          │                         │                   │ glibc: information disclosure of heap addresses of           │
│                  │                  │          │                         │                   │ pthread_created thread                                       │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-1010025                 │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2019-9192    │          │                         │                   │ glibc: uncontrolled recursion in function                    │
│                  │                  │          │                         │                   │ check_dst_limits_calc_pos_1 in posix/regexec.c               │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-9192                    │
├──────────────────┼──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│ libc6            │ CVE-2010-4756    │          │                         │                   │ glibc: glob implementation can cause excessive CPU and       │
│                  │                  │          │                         │                   │ memory consumption due to...                                 │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2010-4756                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2018-20796   │          │                         │                   │ glibc: uncontrolled recursion in function                    │
│                  │                  │          │                         │                   │ check_dst_limits_calc_pos_1 in posix/regexec.c               │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2018-20796                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2019-1010022 │          │                         │                   │ glibc: stack guard protection bypass                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-1010022                 │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2019-1010023 │          │                         │                   │ glibc: running ldd on malicious ELF leads to code execution  │
│                  │                  │          │                         │                   │ because of...                                                │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-1010023                 │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2019-1010024 │          │                         │                   │ glibc: ASLR bypass using cache of thread stack and heap      │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-1010024                 │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2019-1010025 │          │                         │                   │ glibc: information disclosure of heap addresses of           │
│                  │                  │          │                         │                   │ pthread_created thread                                       │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-1010025                 │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2019-9192    │          │                         │                   │ glibc: uncontrolled recursion in function                    │
│                  │                  │          │                         │                   │ check_dst_limits_calc_pos_1 in posix/regexec.c               │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-9192                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libcom-err2      │ CVE-2022-1304    │ HIGH     │ 1.46.2-2                │                   │ e2fsprogs: out-of-bounds read/write via crafted filesystem   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-1304                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libcurl4         │ CVE-2023-23914   │ CRITICAL │ 7.74.0-1.3+deb11u7      │                   │ HSTS ignored on multiple requests                            │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-23914                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-27536   │          │                         │                   │ GSS delegation too eager connection re-use                   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-27536                   │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2022-42916   │ HIGH     │                         │                   │ curl: HSTS bypass via IDN                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-42916                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2022-43551   │          │                         │                   │ curl: HSTS bypass via IDN                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-43551                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-27533   │          │                         │                   │ TELNET option IAC injection                                  │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-27533                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-27534   │          │                         │                   │ SFTP path ~ resolving discrepancy                            │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-27534                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-27535   │          │                         │                   │ FTP too eager connection reuse                               │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-27535                   │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-23915   │ MEDIUM   │                         │                   │ HSTS amnesia with --parallel                                 │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-23915                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-27538   │          │                         │                   │ SSH connection too eager reuse still                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-27538                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-28321   │          │                         │                   │ IDN wildcard match may lead to Improper Cerificate           │
│                  │                  │          │                         │                   │ Validation                                                   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-28321                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-28322   │          │                         │                   │ more POST-after-PUT confusion                                │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-28322                   │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2021-22922   │ LOW      │                         │                   │ curl: Content not matching hash in Metalink is not being     │
│                  │                  │          │                         │                   │ discarded                                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-22922                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2021-22923   │          │                         │                   │ curl: Metalink download sends credentials                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-22923                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-28320   │          │                         │                   │ siglongjmp race condition may lead to crash                  │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-28320                   │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libdb5.3         │ CVE-2019-8457    │ CRITICAL │ 5.3.28+dfsg1-0.8        │                   │ sqlite: heap out-of-bound read in function rtreenode()       │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-8457                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libexpat1        │ CVE-2013-0340    │ LOW      │ 2.2.10-2+deb11u5        │                   │ expat: internal entity expansion                             │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2013-0340                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libext2fs2       │ CVE-2022-1304    │ HIGH     │ 1.46.2-2                │                   │ e2fsprogs: out-of-bounds read/write via crafted filesystem   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-1304                    │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libfreetype6     │ CVE-2023-2004    │          │ 2.10.4+dfsg-1+deb11u1   │                   │ integer overflowin in tt_hvadvance_adjust() in               │
│                  │                  │          │                         │                   │ src/truetype/ttgxvar.c                                       │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-2004                    │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2022-31782   │ LOW      │                         │                   │ ftbench.c in FreeType Demo Programs through 2.12.1 has a     │
│                  │                  │          │                         │                   │ heap-based bu ......                                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-31782                   │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libgcrypt20      │ CVE-2021-33560   │ HIGH     │ 1.8.7-6                 │                   │ libgcrypt: mishandles ElGamal encryption because it lacks    │
│                  │                  │          │                         │                   │ exponent blinding to address a...                            │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-33560                   │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2018-6829    │ LOW      │                         │                   │ libgcrypt: ElGamal implementation doesn't have semantic      │
│                  │                  │          │                         │                   │ security due to incorrectly encoded plaintexts...            │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2018-6829                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libgd3           │ CVE-2021-38115   │ MEDIUM   │ 2.3.0-2                 │                   │ read_header_tga in gd_tga.c in the GD Graphics Library (aka  │
│                  │                  │          │                         │                   │ LibGD) thr ......                                            │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-38115                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2021-40812   │          │                         │                   │ The GD Graphics Library (aka LibGD) through 2.3.2 has an     │
│                  │                  │          │                         │                   │ out-of-bounds ......                                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-40812                   │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2021-40145   │ LOW      │                         │                   │ gdImageGd2Ptr in gd_gd2.c in the GD Graphics Library (aka    │
│                  │                  │          │                         │                   │ LibGD) throu ......                                          │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-40145                   │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libgnutls30      │ CVE-2011-3389    │          │ 3.7.1-5+deb11u3         │                   │ HTTPS: block-wise chosen-plaintext attack against SSL/TLS    │
│                  │                  │          │                         │                   │ (BEAST)                                                      │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2011-3389                    │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libgssapi-krb5-2 │ CVE-2018-5709    │          │ 1.18.3-6+deb11u3        │                   │ krb5: integer overflow in dbentry->n_key_data in             │
│                  │                  │          │                         │                   │ kadmin/dbutil/dump.c                                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2018-5709                    │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libjbig0         │ CVE-2017-9937    │          │ 2.1-3.1+b2              │                   │ libtiff: memory malloc failure in tif_jbig.c could cause     │
│                  │                  │          │                         │                   │ DOS.                                                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2017-9937                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libjpeg62-turbo  │ CVE-2021-46822   │ MEDIUM   │ 1:2.0.6-4               │                   │ libjpeg-turbo: heap buffer overflow in get_word_rgb_row() in │
│                  │                  │          │                         │                   │ rdppm.c                                                      │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-46822                   │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libk5crypto3     │ CVE-2018-5709    │ LOW      │ 1.18.3-6+deb11u3        │                   │ krb5: integer overflow in dbentry->n_key_data in             │
│                  │                  │          │                         │                   │ kadmin/dbutil/dump.c                                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2018-5709                    │
├──────────────────┤                  │          │                         ├───────────────────┤                                                              │
│ libkrb5-3        │                  │          │                         │                   │                                                              │
│                  │                  │          │                         │                   │                                                              │
│                  │                  │          │                         │                   │                                                              │
├──────────────────┤                  │          │                         ├───────────────────┤                                                              │
│ libkrb5support0  │                  │          │                         │                   │                                                              │
│                  │                  │          │                         │                   │                                                              │
│                  │                  │          │                         │                   │                                                              │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libldap-2.4-2    │ CVE-2015-3276    │          │ 2.4.57+dfsg-3+deb11u1   │                   │ incorrect multi-keyword mode cipherstring parsing            │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2015-3276                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2017-14159   │          │                         │                   │ openldap: Privilege escalation via PID file manipulation     │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2017-14159                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2017-17740   │          │                         │                   │ openldap: contrib/slapd-modules/nops/nops.c attempts to free │
│                  │                  │          │                         │                   │ stack buffer allowing remote attackers to cause...           │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2017-17740                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2020-15719   │          │                         │                   │ openldap: Certificate validation incorrectly matches name    │
│                  │                  │          │                         │                   │ against CN-ID                                                │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2020-15719                   │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libmount1        │ CVE-2022-0563    │          │ 2.36.1-8+deb11u1        │                   │ util-linux: partial disclosure of arbitrary files in chfn    │
│                  │                  │          │                         │                   │ and chsh when compiled...                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libpcre3         │ CVE-2017-11164   │          │ 2:8.39-13               │                   │ pcre: OP_KETRMAX feature in the match function in            │
│                  │                  │          │                         │                   │ pcre_exec.c                                                  │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2017-11164                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2017-16231   │          │                         │                   │ pcre: self-recursive call in match() in pcre_exec.c leads to │
│                  │                  │          │                         │                   │ denial of service...                                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2017-16231                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2017-7245    │          │                         │                   │ pcre: stack-based buffer overflow write in                   │
│                  │                  │          │                         │                   │ pcre32_copy_substring                                        │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2017-7245                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2017-7246    │          │                         │                   │ pcre: stack-based buffer overflow write in                   │
│                  │                  │          │                         │                   │ pcre32_copy_substring                                        │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2017-7246                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2019-20838   │          │                         │                   │ pcre: Buffer over-read in JIT when UTF is disabled and \X    │
│                  │                  │          │                         │                   │ or...                                                        │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-20838                   │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libpng16-16      │ CVE-2019-6129    │          │ 1.6.37-3                │                   │ libpng: memory leak of png_info struct in pngcp.c            │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-6129                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2021-4214    │          │                         │                   │ libpng: hardcoded value leads to heap-overflow               │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-4214                    │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libsepol1        │ CVE-2021-36084   │          │ 3.1-1                   │                   │ libsepol: use-after-free in __cil_verify_classperms()        │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-36084                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2021-36085   │          │                         │                   │ libsepol: use-after-free in __cil_verify_classperms()        │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-36085                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2021-36086   │          │                         │                   │ use-after-free in cil_reset_classpermission()                │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-36086                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2021-36087   │          │                         │                   │ libsepol: heap-based buffer overflow in ebitmap_match_any()  │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2021-36087                   │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libsmartcols1    │ CVE-2022-0563    │          │ 2.36.1-8+deb11u1        │                   │ util-linux: partial disclosure of arbitrary files in chfn    │
│                  │                  │          │                         │                   │ and chsh when compiled...                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libss2           │ CVE-2022-1304    │ HIGH     │ 1.46.2-2                │                   │ e2fsprogs: out-of-bounds read/write via crafted filesystem   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-1304                    │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libssl1.1        │ CVE-2023-0464    │          │ 1.1.1n-0+deb11u4        │                   │ Denial of service by excessive resource usage in verifying   │
│                  │                  │          │                         │                   │ X509 policy constraints...                                   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-0464                    │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-0465    │ MEDIUM   │                         │                   │ Invalid certificate policies in leaf certificates are        │
│                  │                  │          │                         │                   │ silently ignored                                             │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-0465                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-0466    │          │                         │                   │ Certificate policy check not enabled                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-0466                    │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2007-6755    │ LOW      │                         │                   │ Dual_EC_DRBG: weak pseudo random number generator            │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2007-6755                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2010-0928    │          │                         │                   │ openssl: RSA authentication weakness                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2010-0928                    │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libsystemd0      │ CVE-2013-4392    │          │ 247.3-7+deb11u2         │                   │ TOCTOU race condition when updating file permissions and     │
│                  │                  │          │                         │                   │ SELinux security contexts                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2013-4392                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2020-13529   │          │                         │                   │ systemd: DHCP FORCERENEW authentication not implemented can  │
│                  │                  │          │                         │                   │ cause a system running the...                                │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2020-13529                   │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libtiff5         │ CVE-2023-2731    │ MEDIUM   │ 4.2.0-1+deb11u4         │                   │ null pointer deference in LZWDecode() in libtiff/tif_lzw.c   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-2731                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-30086   │          │                         │                   │ Heap buffer overflow in tiffcp() at tiffcp.c                 │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-30086                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-30774   │          │                         │                   │ heap buffer overflow issues related to TIFFTAG_INKNAMES and  │
│                  │                  │          │                         │                   │ related TIFFTAG_NUMBEROFINKS value                           │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-30774                   │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2014-8130    │ LOW      │                         │                   │ libtiff: divide by zero in the tiffdither tool               │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2014-8130                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2017-16232   │          │                         │                   │ libtiff: Memory leaks in tif_open.c, tif_lzw.c, and          │
│                  │                  │          │                         │                   │ tif_aux.c                                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2017-16232                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2017-17973   │          │                         │                   │ libtiff: heap-based use after free in                        │
│                  │                  │          │                         │                   │ tiff2pdf.c:t2p_writeproc                                     │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2017-17973                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2017-5563    │          │                         │                   │ libtiff: Heap-buffer overflow in LZWEncode tif_lzw.c         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2017-5563                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2017-9117    │          │                         │                   │ libtiff: Heap-based buffer over-read in bmp2tiff             │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2017-9117                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2018-10126   │          │                         │                   │ libtiff: NULL pointer dereference in the jpeg_fdct_16x16     │
│                  │                  │          │                         │                   │ function in jfdctint.c                                       │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2018-10126                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2022-1056    │          │                         │                   │ Out-of-bounds Read error in tiffcrop in libtiff 4.3.0 allows │
│                  │                  │          │                         │                   │ attackers ...                                                │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-1056                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2022-1210    │          │                         │                   │ tiff: Malicious file leads to a denial of service in TIFF    │
│                  │                  │          │                         │                   │ File...                                                      │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-1210                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-1916    │          │                         │                   │ out-of-bounds read in extractImageSection() in               │
│                  │                  │          │                         │                   │ tools/tiffcrop.c                                             │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-1916                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-30775   │          │                         │                   │ Heap buffer overflow in extractContigSamples32bits,          │
│                  │                  │          │                         │                   │ tiffcrop.c                                                   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-30775                   │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libtinfo6        │ CVE-2023-29491   │ HIGH     │ 6.2+20201114-2+deb11u1  │                   │ Local users can trigger security-relevant memory corruption  │
│                  │                  │          │                         │                   │ via malformed data                                           │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-29491                   │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libudev1         │ CVE-2013-4392    │ LOW      │ 247.3-7+deb11u2         │                   │ TOCTOU race condition when updating file permissions and     │
│                  │                  │          │                         │                   │ SELinux security contexts                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2013-4392                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2020-13529   │          │                         │                   │ systemd: DHCP FORCERENEW authentication not implemented can  │
│                  │                  │          │                         │                   │ cause a system running the...                                │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2020-13529                   │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libuuid1         │ CVE-2022-0563    │          │ 2.36.1-8+deb11u1        │                   │ util-linux: partial disclosure of arbitrary files in chfn    │
│                  │                  │          │                         │                   │ and chsh when compiled...                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libwebp6         │ CVE-2023-1999    │ HIGH     │ 0.6.1-2.1               │ 0.6.1-2.1+deb11u1 │ Double-free in libwebp                                       │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-1999                    │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2016-9085    │ LOW      │                         │                   │ libwebp: Several integer overflows                           │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2016-9085                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libxml2          │ CVE-2016-3709    │ MEDIUM   │ 2.9.10+dfsg-6.7+deb11u4 │                   │ libxml2: Incorrect server side include parsing can lead to   │
│                  │                  │          │                         │                   │ XSS                                                          │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2016-3709                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libxslt1.1       │ CVE-2015-9019    │ LOW      │ 1.1.34-4+deb11u1        │                   │ libxslt: math.random() in xslt uses unseeded randomness      │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2015-9019                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ libzstd1         │ CVE-2022-4899    │ HIGH     │ 1.4.8+dfsg-2.1          │                   │ buffer overrun in util.c                                     │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-4899                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ login            │ CVE-2007-5686    │ LOW      │ 1:4.8.1-1               │                   │ initscripts in rPath Linux 1 sets insecure permissions for   │
│                  │                  │          │                         │                   │ the /var/lo ......                                           │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2007-5686                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2013-4235    │          │                         │                   │ shadow-utils: TOCTOU race conditions by copying and removing │
│                  │                  │          │                         │                   │ directory trees                                              │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2013-4235                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2019-19882   │          │                         │                   │ shadow-utils: local users can obtain root access because     │
│                  │                  │          │                         │                   │ setuid programs are misconfigured...                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-19882                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-29383   │          │                         │                   │ Improper input validation in shadow-utils package utility    │
│                  │                  │          │                         │                   │ chfn                                                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-29383                   │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ logsave          │ CVE-2022-1304    │ HIGH     │ 1.46.2-2                │                   │ e2fsprogs: out-of-bounds read/write via crafted filesystem   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-1304                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ mount            │ CVE-2022-0563    │ LOW      │ 2.36.1-8+deb11u1        │                   │ util-linux: partial disclosure of arbitrary files in chfn    │
│                  │                  │          │                         │                   │ and chsh when compiled...                                    │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2022-0563                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ ncurses-base     │ CVE-2023-29491   │ HIGH     │ 6.2+20201114-2+deb11u1  │                   │ Local users can trigger security-relevant memory corruption  │
│                  │                  │          │                         │                   │ via malformed data                                           │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-29491                   │
├──────────────────┤                  │          │                         ├───────────────────┤                                                              │
│ ncurses-bin      │                  │          │                         │                   │                                                              │
│                  │                  │          │                         │                   │                                                              │
│                  │                  │          │                         │                   │                                                              │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ nginx            │ CVE-2020-36309   │ MEDIUM   │ 1.23.4-1~bullseye       │                   │ ngx_http_lua_module (aka lua-nginx-module) before 0.10.16 in │
│                  │                  │          │                         │                   │ OpenResty ...                                                │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2020-36309                   │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2009-4487    │ LOW      │                         │                   │ nginx: Absent sanitation of escape sequences in web server   │
│                  │                  │          │                         │                   │ log                                                          │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2009-4487                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2013-0337    │          │                         │                   │ The default configuration of nginx, possibly 1.3.13 and      │
│                  │                  │          │                         │                   │ earlier, uses ......                                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2013-0337                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ openssl          │ CVE-2023-0464    │ HIGH     │ 1.1.1n-0+deb11u4        │                   │ Denial of service by excessive resource usage in verifying   │
│                  │                  │          │                         │                   │ X509 policy constraints...                                   │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-0464                    │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-0465    │ MEDIUM   │                         │                   │ Invalid certificate policies in leaf certificates are        │
│                  │                  │          │                         │                   │ silently ignored                                             │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-0465                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-0466    │          │                         │                   │ Certificate policy check not enabled                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-0466                    │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2007-6755    │ LOW      │                         │                   │ Dual_EC_DRBG: weak pseudo random number generator            │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2007-6755                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2010-0928    │          │                         │                   │ openssl: RSA authentication weakness                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2010-0928                    │
├──────────────────┼──────────────────┤          ├─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ passwd           │ CVE-2007-5686    │          │ 1:4.8.1-1               │                   │ initscripts in rPath Linux 1 sets insecure permissions for   │
│                  │                  │          │                         │                   │ the /var/lo ......                                           │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2007-5686                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2013-4235    │          │                         │                   │ shadow-utils: TOCTOU race conditions by copying and removing │
│                  │                  │          │                         │                   │ directory trees                                              │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2013-4235                    │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2019-19882   │          │                         │                   │ shadow-utils: local users can obtain root access because     │
│                  │                  │          │                         │                   │ setuid programs are misconfigured...                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2019-19882                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-29383   │          │                         │                   │ Improper input validation in shadow-utils package utility    │
│                  │                  │          │                         │                   │ chfn                                                         │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-29383                   │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ perl-base        │ CVE-2020-16156   │ HIGH     │ 5.32.1-4+deb11u2        │                   │ perl-CPAN: Bypass of verification of signatures in CHECKSUMS │
│                  │                  │          │                         │                   │ files                                                        │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2020-16156                   │
│                  ├──────────────────┤          │                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
│                  │ CVE-2023-31484   │          │                         │                   │ CPAN.pm before 2.35 does not verify TLS certificates when    │
│                  │                  │          │                         │                   │ downloading ......                                           │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2023-31484                   │
│                  ├──────────────────┼──────────┤                         ├───────────────────┼──────────────────────────────────────────────────────────────┤
```

Library 毎に脆弱性が一覧表示されます。運用ポリシーに合わせて Severity 毎に判断・対処していく形になるかと思います。
脆弱性は確認できましたので、続いて肝心の SBOM を確認してみたいと思います。

```sh
docker run -v /var/run/docker.sock:/var/run/docker.sock -v $HOME/Library/Caches:/root/.cache/ aquasec/trivy:latest image --format cyclonedx nginx:latest -o nginx-cyclonedx.json

-- result --
2023-06-07T04:45:09.820Z        INFO    "--format cyclonedx" disables security scanning. Specify "--scanners vuln" explicitly if you want to include vulnerabilities in the CycloneDX report.
```

sdpx 形式の SBOM 結果から企業利用でライセンス違反有無を確認します。
とりあえず、JSON 形式で出力 → excel インポートして一つずつ判断していく感じでしょうか...
※ GPL + xxx など、派生形のライセンスが多すぎますね...



# Trivyチートシート
- コンテナイメージに対して脆弱性をテーブル形式で出力
```sh
docker run -v /var/run/docker.sock:/var/run/docker.sock -v $HOME/Library/Caches:/root/.cache/ aquasec/trivy:latest image nginx:latest

-- result -- 
nginx:latest (debian 11.7)
==========================
Total: 144 (UNKNOWN: 0, LOW: 90, MEDIUM: 16, HIGH: 33, CRITICAL: 5)

┌──────────────────┬──────────────────┬──────────┬─────────────────────────┬───────────────────┬──────────────────────────────────────────────────────────────┐
│     Library      │  Vulnerability   │ Severity │    Installed Version    │   Fixed Version   │                            Title                             │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ apt              │ CVE-2011-3374    │ LOW      │ 2.2.4                   │                   │ It was found that apt-key in apt, all versions, do not       │
│                  │                  │          │                         │                   │ correctly...                                                 │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2011-3374                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
-- snip --
```

- `-f`オプションで出力形式を指定可能(Table,JSON,SARIF,Template)
```sh
docker run -v /var/run/docker.sock:/var/run/docker.sock -v $HOME/Library/Caches:/root/.cache/ aquasec/trivy:latest image -f json nginx:latest

-- result --
{
  "SchemaVersion": 2,
  "ArtifactName": "nginx:latest",
  "ArtifactType": "container_image",
  "Metadata": {
    "OS": {
      "Family": "debian",
      "Name": "11.7"
    },
    "ImageID": "sha256:448a08f1d2f94e8db6db9286fd77a3a4f3712786583720a12f1648abb8cace25",
    "DiffIDs": [
      "sha256:8553b91047dad45bedc292812586f1621e0a464a09a7a7c2ce6ac5f8ba2535d7",
      "sha256:a29cc9587af6488ae0cbb962ecbe023d347908cc62ca5d715af06e54ccaa9e36",
      "sha256:6bc8ae8fb3cf0909b3d9c2e74f6cabe16e6a2322c52cec76fbaecaef47006f1d",
      "sha256:5684be535bf11cb9ad1a57b51085f36d84ae8361eabc2b4c2ba9a83e8b084b20",
      "sha256:93ee76f39c974e4f819e632149c002d6f509aadc5995ec6523a96b337751c8ed",
      "sha256:1040838fe30e6f26d31bde96c514f47ee4bf727b3f1c3c7b045ea3891c1c2150"
-- snip --
```

- `--dependency-tree`オプションでライブラリ依存関係をtree形式で出力可能
```sh
docker run -v /var/run/docker.sock:/var/run/docker.sock -v $HOME/Library/Caches:/root/.cache/ aquasec/trivy:latest image --dependency-tree nginx:latest|

-- result --
Dependency Origin Tree (Reversed)
=================================
nginx:latest (debian 11.7)
├── apt@2.2.4, (UNKNOWN: 0, LOW: 1, MEDIUM: 0, HIGH: 0, CRITICAL: 0)
├── bash@5.1-2+deb11u1, (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 1, CRITICAL: 0)
├── bsdutils@1:2.36.1-8+deb11u1, (UNKNOWN: 0, LOW: 1, MEDIUM: 0, HIGH: 0, CRITICAL: 0)
├── coreutils@8.32-4+b1, (UNKNOWN: 0, LOW: 2, MEDIUM: 0, HIGH: 0, CRITICAL: 0)
├── curl@7.74.0-1.3+deb11u7, (UNKNOWN: 0, LOW: 3, MEDIUM: 2, HIGH: 7, CRITICAL: 2)
-- snip --
```

- `--severity`オプションで出力内容をフィルタリング可能(LOW,MEDIUM,HIGH,CRITICAL)
```sh
docker run -v /var/run/docker.sock:/var/run/docker.sock -v $HOME/Library/Caches:/root/.cache/ aquasec/trivy:latest image --severity HIGH,CRITICAL nginx:latest

-- result --
nginx:latest (debian 11.7)
==========================
Total: 38 (HIGH: 33, CRITICAL: 5)

┌───────────────┬────────────────┬──────────┬────────────────────────┬───────────────────┬──────────────────────────────────────────────────────────────┐
│    Library    │ Vulnerability  │ Severity │   Installed Version    │   Fixed Version   │                            Title                             │
├───────────────┼────────────────┼──────────┼────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ bash          │ CVE-2022-3715  │ HIGH     │ 5.1-2+deb11u1          │                   │ a heap-buffer-overflow in valid_parameter_transform          │
│               │                │          │                        │                   │ https://avd.aquasec.com/nvd/cve-2022-3715                    │
├───────────────┼────────────────┼──────────┼────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ curl          │ CVE-2023-23914 │ CRITICAL │ 7.74.0-1.3+deb11u7     │                   │ HSTS ignored on multiple requests                            │
│               │                │          │                        │                   │ https://avd.aquasec.com/nvd/cve-2023-23914                   │-- snip --
-- snip --
```

- `--format cyclonedx|spdx`オプションでSBOM形式を指定可能
```sh
docker run -v /var/run/docker.sock:/var/run/docker.sock -v $HOME/Library/Caches:/root/.cache/ aquasec/trivy:latest image --format spdx nginx:latest

-- result --
SPDXVersion: SPDX-2.3
DataLicense: CC0-1.0
SPDXID: SPDXRef-DOCUMENT
DocumentName: nginx:latest
DocumentNamespace: http://aquasecurity.github.io/trivy/container_image/nginx:latest-cdce0dd1-cd04-4e30-9ae1-c5862c3e2bc4
Creator: Organization: aquasecurity
Creator: Tool: trivy-0.41.0
Created: 2023-06-07T02:47:46Z

##### Package: nginx:latest

PackageName: nginx:latest
SPDXID: SPDXRef-ContainerImage-489dc1a19fbe75c6
PackageDownloadLocation: NONE
PrimaryPackagePurpose: CONTAINER
FilesAnalyzed: false
ExternalRef: PACKAGE-MANAGER purl pkg:oci/nginx@sha256:480868e8c8c797794257e2abd88d0f9a8809b2fe956cbfbc05dcc0bca1f7cd43?repository_url=index.docker.io%2Flibrary%2Fnginx&arch=amd64
PackageAttributionText: SchemaVersion: 2
PackageAttributionText: ImageID: sha256:448a08f1d2f94e8db6db9286fd77a3a4f3712786583720a12f1648abb8cace25
PackageAttributionText: RepoDigest: nginx@sha256:480868e8c8c797794257e2abd88d0f9a8809b2fe956cbfbc05dcc0bca1f7cd43
PackageAttributionText: DiffID: sha256:8553b91047dad45bedc292812586f1621e0a464a09a7a7c2ce6ac5f8ba2535d7
PackageAttributionText: DiffID: sha256:a29cc9587af6488ae0cbb962ecbe023d347908cc62ca5d715af06e54ccaa9e36
PackageAttributionText: DiffID: sha256:6bc8ae8fb3cf0909b3d9c2e74f6cabe16e6a2322c52cec76fbaecaef47006f1d
PackageAttributionText: DiffID: sha256:5684be535bf11cb9ad1a57b51085f36d84ae8361eabc2b4c2ba9a83e8b084b20
PackageAttributionText: DiffID: sha256:93ee76f39c974e4f819e632149c002d6f509aadc5995ec6523a96b337751c8ed
PackageAttributionText: DiffID: sha256:1040838fe30e6f26d31bde96c514f47ee4bf727b3f1c3c7b045ea3891c1c2150
PackageAttributionText: RepoTag: nginx:latest
-- snip --
```

- `-o`オプションで実行結果を保存
```sh
docker run -v /var/run/docker.sock:/var/run/docker.sock -v $HOME/Library/Caches:/root/.cache/ aquasec/trivy:latest image --format spdx -o nginx-spdx.json nginx:latest

-- result --
2023-06-07T03:17:16.449Z        INFO    "--format spdx" and "--format spdx-json" disable security scanning
-- snip --
```

- `SBOM`オプションでSBOMファイルを基に脆弱性をスキャン可能
```sh
docker run -v /var/run/docker.sock:/var/run/docker.sock -v $HOME/Library/Caches:/root/.cache/ -v /tmp:/tmp aquasec/trivy:latest sbom /tmp/nginx-spdx.json

-- result --
/tmp/nginx-spdx.json (debian 11.7)
==================================
Total: 144 (UNKNOWN: 0, LOW: 90, MEDIUM: 16, HIGH: 33, CRITICAL: 5)

┌──────────────────┬──────────────────┬──────────┬─────────────────────────┬───────────────────┬──────────────────────────────────────────────────────────────┐
│     Library      │  Vulnerability   │ Severity │    Installed Version    │   Fixed Version   │                            Title                             │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
│ apt              │ CVE-2011-3374    │ LOW      │ 2.2.4                   │                   │ It was found that apt-key in apt, all versions, do not       │
│                  │                  │          │                         │                   │ correctly...                                                 │
│                  │                  │          │                         │                   │ https://avd.aquasec.com/nvd/cve-2011-3374                    │
├──────────────────┼──────────────────┼──────────┼─────────────────────────┼───────────────────┼──────────────────────────────────────────────────────────────┤
-- snip --
```

- `-f`オプションで出力形式を指定可能(Table,JSON,SARIF,Template)
```sh
docker run -v /var/run/docker.sock:/var/run/docker.sock -v $HOME/Library/Caches:/root/.cache/ aquasec/trivy:latest image -f json nginx:latest

-- result --
-- snip --
```
- `-f`オプションで出力形式を指定可能(Table,JSON,SARIF,Template)
```sh
docker run -v /var/run/docker.sock:/var/run/docker.sock -v $HOME/Library/Caches:/root/.cache/ aquasec/trivy:latest image -f json nginx:latest

-- result --
-- snip --
```

# おわりに
今回の調査でOSS 関連ライセンスは幅広いことが分かりました。
しかし、大本のライセンスはGPL・MIT・BSD・Public domain・Apacheあたりがメジャー所だと理解しました。
企業ユースでは、Oracle系ライセンスに気を付けたいと思いました。