脆弱性管理 - 標準 Issue ラベル
GitLab では、GitLab がメンテナンスするプロジェクトのセキュリティ脆弱性に対応するチームメンバーを支援するため、標準的な脆弱性管理ラベルのセットが横断的に使用されています。 これらのラベルは、Vulnerability Management チームが管理する自動化によって自動的に付与されます。自動ラベリングは日次の頻度で実行されます。既存のセキュリティ追跡 Issue を充実させるために複数のデータソースが使われており、各ラベルは、メンテナンスするプロジェクトに存在する脆弱性についてチームメンバーが利用できる情報やコンテキストの量を増やすよう設計されています。主な目標は、必要となる手作業の調査やトリアージ作業の量を削減し、GitLab 全体で脆弱性の一貫した効果的な管理を行えるよう支援することです。
追跡 Issue ラベル
GitLab は、GitLab のインフラやプロジェクト全体にわたって、脆弱性を vulnerability および Issue の両方として追跡するために使用されています。このプロセスの一環として、緩和や修復に至るまでの脆弱性管理の状態を追跡するために、さまざまな標準ラベルが付与されます。
修復 SLA ラベル
Issue として追跡される脆弱性に適用される SLA を示すために使われるラベルは、脆弱性管理 SLA ページに記載されています。
脆弱性情報・ワークフローラベル
セキュリティ追跡 Issue にアノテーションを付け、情報を充実させるために、現在使用されているか、または使用可能な以下のラベルがあります。
| ラベル | 関連ドキュメント | 用途 |
|---|---|---|
security | Security Handbook | Security および Engineering グループは、Issue がセキュリティ追跡 Issue に関連することを示すためにこのラベルを使用します |
bug::vulnerability | Composition Analysis Handbook, AppSec Vulnerability Management Process | 脆弱なソフトウェアコンポーネントを伴うセキュリティ追跡 Issue を表すために使用されます |
OS::<x> <y> | 脆弱なソフトウェアコンポーネントに関連してスキャンされたアーティファクトについて、検出された OS のベンダーとリリースを示します | |
Vulnerability Management::Vendor Severity Deviation | ベンダーのセキュリティアドバイザリの深刻度が、GitLab のスキャンアーティファクトや脆弱性レポートエントリで検出された脆弱性の深刻度と異なっていたことを示します | |
Vulnerability Management::Vendor CVSS Deviation | ベンダーが指定する CVSS スコアが、GitLab で脆弱性レポートエントリを生成したセキュリティスキャナによって報告されたスコアとは異なる方法で計算または報告されていることを示します | |
Vulnerability Management::Process Deviation | Vulnerability Management standard | この Issue について GitLab の Vulnerability Management standard が遵守されていないことを示します（例: 脆弱性が依然として検出されているにもかかわらず追跡 Issue がクローズされている場合） |
Vulnerability Management::Vulnerability Mismatch | 検出されてリンクされた脆弱性が、OS、CVE、その他の脆弱性データに基づいて追跡 Issue と一致しないことが判明したことを示します | |
Vulnerability::Vendor Package::Fix Available | この脆弱性を修正する更新済みベンダーパッケージが利用可能です | |
Vulnerability::Vendor Package::Fix Unavailable | この脆弱性に対するベンダー修正は存在しませんが、ベンダーが将来公開する可能性があります | |
Vulnerability::Vendor Package::Will Not Be Fixed | 脆弱なソフトウェアパッケージに対して修正は提供されません（通常、その脆弱性が該当しないためです） | |
Vulnerability::Vendor Base Container::Fix Available | この脆弱性を修正する更新済みベンダーベースコンテナイメージが利用可能です | |
Vulnerability::Vendor Base Container::Fix Unavailable | この脆弱性を修正する更新済みベースコンテナイメージは存在しませんが、ベンダーが将来公開する可能性があります | |
Vulnerability::Vendor Base Container::Will Not Be Fixed | 脆弱なコンテナイメージに対して修正済みコンテナは提供されません（通常、その脆弱性が該当しないためです） | |
Vulnerability Impact::Scan Severity::[High/Medium/Low] | その脆弱性を検出したスキャナによって報告された深刻度です | |
Vulnerability Impact::Scan CVSS::(x.x) | その脆弱性を検出した脆弱性スキャナによって報告された CVSS（既定では CVSSv3、v3 が利用できない場合は CVSSv2 にフォールバック） | |
Vulnerability Impact::Vendor Severity::[High/Medium/Low] | ベンダーが検出された場合、最も関連性の高いソフトウェアベンダー（パッケージまたはコンテナ）が報告した深刻度 | |
Vulnerability Impact::Vendor CVSS::(x.y) | ベンダーが検出された場合、最も該当するソフトウェアベンダー（パッケージまたはコンテナ）が報告した CVSS（既定では CVSSv3、v3 が利用できない場合は CVSSv2 にフォールバック） | |
Vulnerability Management::Pending NVD Analysis | CVE が NVD による分析待ちかどうかを示します | |
Vulnerability Impact::Public Exploitation::Exploited | CISA Known Exploited Vulnerabilities List | 当該脆弱性が公開で悪用されたことが知られていることを示します。現在は CISA が唯一のデータソースですが、将来的に他のデータソースも追加される可能性があります。 |
Vulnerability Impact::Public Exploitation::Unknown | CISA Known Exploited Vulnerabilities List | 当該脆弱性が CISA KEV リストに掲載されていないことを示します。これは必ずしも当該脆弱性が積極的に悪用されていない、または悪用されていなかったことを意味するものではなく、単に CISA に対して悪用の証拠が提供されていないことを意味します。 |
最終更新 July 30, 2026: Merge pull request #483 from kyama0/translation/batch-2026-07-29-1 (
c955a93f)