Solaris のペーストスキャン#
ベータ版
Solaris のペーストスキャンはベータ版として提供しています。検知結果に誤りが含まれる場合があります。 お気づきの点がありましたら、ユーザサポート窓口までお問い合わせください。
FutureVuls 画面上から、Oracle Solaris のパッケージ情報を登録することで、スキャナを使用せずに脆弱性を検知します。 Solaris はペーストスキャンでのみ登録できます（スキャナによるスキャンには対応していません）。
対象バージョンについては、「対応環境」を参照してください。
脆弱性の検知方法#
Oracle が公開している脆弱性情報（Critical Patch Update の Solaris 向けアドバイザリ、Oracle Solaris Third Party Bulletin）と、登録したパッケージ情報を突き合わせて脆弱性を検知します。 バージョンによって、修正済みかどうかの判定方法が異なります。
| バージョン | 修正済みかどうかの判定 |
|---|---|
| 11.3, 11.4 | entire パッケージの版に含まれる更新レベル（SRU / ESU）から判定します |
| 11.0, 11.1, 11.2 | 修正済みの更新レベルが公開されていないため、entire パッケージの版に含まれる日時（ビルド日時）と、脆弱性情報の公開日から推定します |
| 10 | 判定しません。インストール済みのパッケージに影響しうる脆弱性をすべて検知します |
Solaris 11 の Java 8 と MySQL は、entire パッケージではなく、それぞれのパッケージのバージョンと Oracle が公開している影響を受けるバージョンの範囲から判定します。
Solaris 10 の検知結果について
Solaris 10 は、パッチの適用状況から修正済みかどうかを判断できる公開情報がないため、パッチを適用しても検知結果は残ります。 パッチの適用状況はお客様にてご確認のうえ、タスクのステータスを更新してください。
公開情報をもとに検知するため、次の制約があります。
- Oracle が公開情報に掲載していない脆弱性は検知できません。
- 修正された更新レベルが公開情報に記載されていない脆弱性は、修正済みかどうかを判定できないため、更新後も検知されることがあります。
- Solaris 11.3 では、Extended Support の対象外のコンポーネントの脆弱性は検知されません。
Solaris ペーストサーバ登録に必要な情報と取得方法#
ペーストスキャンの登録方法の手順で OS Family に「Solaris」を選択し、次の情報を入力します。
| Info | Version | Command |
|---|---|---|
| OS Version | - | head -1 /etc/release の結果を確認し、10、11.0〜11.4 から選択 |
| Kernel Release | - | uname -r |
| Kernel Version | - | uname -v |
| Packages | 11.0〜11.4 | pkg list -Hv |
| Packages | 10 | /usr/bin/pkginfo -x |
- パッケージ一覧のコマンドは表のとおりに実行し（パッケージ名などの引数を追加しない）、結果をすべて貼り付けてください。空のパッケージ一覧は登録できません。
- Solaris 11 は、パッケージ一覧に
entireパッケージが含まれている必要があります。entireパッケージをアンインストールしたサーバは登録できません。
パッケージを更新した場合は、「ペーストサーバの更新」の手順で構成情報を更新してください。