漏洞严重性级别

GitLab 漏洞分析器会尽可能尝试返回漏洞严重性级别。以下是可用的 GitLab 漏洞严重性级别列表,从最严重到最不严重排列:

  • Critical
  • High
  • Medium
  • Low
  • Info
  • Unknown

大多数 GitLab 漏洞分析器都是流行的开源扫描工具的包装。每个开源扫描工具都提供自己本身的漏洞严重性级别的值。如下表所述:

原生漏洞严重性级别类型 示例
String WARNINGERRORCriticalNegligible
Integer 125
CVSS v2.0 Rating (AV:N/AC:L/Au:S/C:P/I:P/A:N)
CVSS v3.1 Qualitative Severity Rating CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

为了提供一致的漏洞严重性级别值,GitLab 漏洞分析器将上述值转换为标准化的 GitLab 漏洞严重性级别,如下表所述:

SAST

GitLab 分析器 输出严重性级别? 原生严重性级别类型 原生严重性级别示例
security-code-scan Yes String CRITICALHIGHMEDIUM(分析器版本为 3.2.0 或更高)。在早期版本中,硬编码为 Unknown
brakeman Yes String HIGHMEDIUMLOW
sobelow Yes N/A 硬编码所有安全性级别为 Unknown
nodejs-scan Yes String INFOWARNINGERROR
flawfinder Yes Integer 012345
SpotBugs Yes Integer 123111218
phpcs-security-audit Yes String ERRORWARNING
pmd-apex Yes Integer 12345
kubesec Yes String CriticalSeverityInfoSeverity
secrets Yes N/A 硬编码所有安全性级别为 Critical
semgrep Yes String errorwarningnotenone
kics Yes String errorwarningnotenone (在分析器版本 3.7.0 及更高版本中映射到 info

Dependency Scanning

GitLab 分析器 输出严重性级别? 原生严重性级别类型 原生严重性级别示例
gemnasium Yes CVSS v2.0 Rating 和 CVSS v3.1 Qualitative Severity Rating 1 (AV:N/AC:L/Au:S/C:P/I:P/A:N)CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
  1. CVSS v3.1 Rating 用于计算严重性级别。如果它不可用,则使用 CVSS v2.0 Rating。

Container Scanning

GitLab 分析器 输出严重性级别? 原生严重性级别类型 原生严重性级别示例
container-scanning Yes String UnknownLowMediumHighCritical

如果可用,供应商严重性级别优先,并由分析器使用。如果不可用,那么将退回到 CVSS v3.1 评级。如果仍不可用,则改为使用 CVSS v2.0 评级。有关此实现的详细信息,请参见 trivygrype

模糊测试

所有模糊测试结果都报告为未知,您应该对它们进行手动审核和分类,找到可利用的故障并优先修复。