漏洞严重性级别

GitLab 漏洞分析器会尽可能尝试返回漏洞严重性级别。以下是可用的 GitLab 漏洞严重性级别列表，从最严重到最不严重排列：

  • Critical
  • High
  • Medium
  • Low
  • Info
  • Unknown

大多数 GitLab 漏洞分析器都是流行的开源扫描工具的包装。每个开源扫描工具都提供自己本身的漏洞严重性级别的值。如下表所述：

原生漏洞严重性级别类型 示例
String WARNING, ERROR, Critical, Negligible
Integer 1, 2, 5
CVSS v2.0 Rating (AV:N/AC:L/Au:S/C:P/I:P/A:N)
CVSS v3.1 Qualitative Severity Rating CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

为了提供一致的漏洞严重性级别值，GitLab 漏洞分析器将上述值转换为标准化的 GitLab 漏洞严重性级别，如下表所述：

SAST

GitLab 分析器 输出严重性级别？ 原生严重性级别类型 原生严重性级别示例
security-code-scan Yes String CRITICAL, HIGH, MEDIUM（分析器版本为 3.2.0 或更高）。在早期版本中，硬编码为 Unknown。
brakeman Yes String HIGH, MEDIUM, LOW
sobelow Yes N/A 硬编码所有安全性级别为 Unknown
nodejs-scan Yes String INFO, WARNING, ERROR
flawfinder Yes Integer 0, 1, 2, 3, 4, 5
eslint Yes N/A 硬编码所有安全性级别为 Unknown
SpotBugs Yes Integer 1, 2, 3, 11, 12, 18
gosec Yes String HIGH, MEDIUM, LOW
bandit Yes String HIGH, MEDIUM, LOW
phpcs-security-audit Yes String ERROR, WARNING
pmd-apex Yes Integer 1, 2, 3, 4, 5
kubesec Yes String CriticalSeverity, InfoSeverity
secrets Yes N/A 硬编码所有安全性级别为 Critical
semgrep Yes String error, warning, note, none

Dependency Scanning

GitLab 分析器 输出严重性级别？ 原生严重性级别类型 原生严重性级别示例
bundler-audit Yes String low, medium, high, critical
retire.js Yes String low, medium, high, critical
gemnasium Yes CVSS v2.0 Rating and CVSS v3.1 Qualitative Severity Rating (AV:N/AC:L/Au:S/C:P/I:P/A:N), CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Container Scanning

GitLab 分析器 输出严重性级别？ 原生严重性级别类型 原生严重性级别示例
container-scanning Yes String Unknown, Low, Medium, High, Critical

模糊测试

所有模糊测试结果都报告为未知，您应该对它们进行手动审核和分类，找到可利用的故障并优先修复。