漏洞严重性级别
GitLab 漏洞分析器会尽可能尝试返回漏洞严重性级别。以下是可用的 GitLab 漏洞严重性级别列表,从最严重到最不严重排列:
Critical
High
Medium
Low
Info
Unknown
大多数 GitLab 漏洞分析器都是流行的开源扫描工具的包装。每个开源扫描工具都提供自己本身的漏洞严重性级别的值。如下表所述:
原生漏洞严重性级别类型 | 示例 |
---|---|
String |
WARNING 、ERROR 、Critical 、Negligible
|
Integer |
1 、2 、5
|
CVSS v2.0 Rating | (AV:N/AC:L/Au:S/C:P/I:P/A:N)
|
CVSS v3.1 Qualitative Severity Rating | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
|
为了提供一致的漏洞严重性级别值,GitLab 漏洞分析器将上述值转换为标准化的 GitLab 漏洞严重性级别,如下表所述:
SAST
GitLab 分析器 | 输出严重性级别? | 原生严重性级别类型 | 原生严重性级别示例 |
---|---|---|---|
security-code-scan
| Yes | String |
CRITICAL 、HIGH 、MEDIUM (分析器版本为 3.2.0 或更高)。在早期版本中,硬编码为 Unknown 。
|
brakeman
| Yes | String |
HIGH 、MEDIUM 、LOW
|
sobelow
| Yes | N/A | 硬编码所有安全性级别为 Unknown
|
nodejs-scan
| Yes | String |
INFO 、WARNING 、ERROR
|
flawfinder
| Yes | Integer |
0 、1 、2 、3 、4 、5
|
SpotBugs
| Yes | Integer |
1 、2 、3 、11 、12 、18
|
phpcs-security-audit
| Yes | String |
ERROR 、WARNING
|
pmd-apex
| Yes | Integer |
1 、2 、3 、4 、5
|
kubesec
| Yes | String |
CriticalSeverity 、InfoSeverity
|
secrets
| Yes | N/A | 硬编码所有安全性级别为 Critical
|
semgrep
| Yes | String |
error 、warning 、note 、none
|
kics
| Yes | String |
error 、warning 、note 、none (在分析器版本 3.7.0 及更高版本中映射到 info )
|
Dependency Scanning
GitLab 分析器 | 输出严重性级别? | 原生严重性级别类型 | 原生严重性级别示例 |
---|---|---|---|
gemnasium
| Yes | CVSS v2.0 Rating 和 CVSS v3.1 Qualitative Severity Rating 1 |
(AV:N/AC:L/Au:S/C:P/I:P/A:N) 、CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
|
- CVSS v3.1 Rating 用于计算严重性级别。如果它不可用,则使用 CVSS v2.0 Rating。
Container Scanning
GitLab 分析器 | 输出严重性级别? | 原生严重性级别类型 | 原生严重性级别示例 |
---|---|---|---|
container-scanning
| Yes | String |
Unknown 、Low 、Medium 、High 、Critical
|
模糊测试
所有模糊测试结果都报告为未知,您应该对它们进行手动审核和分类,找到可利用的故障并优先修复。