2018-12-07 リリース内容#

今回のリリースでは以下の変更が入りました。

機能追加#

これまでは、CPE を登録する方法は

という2つの登録方法がありましたが、プログラミング言語のライブラリなどたくさんの CPE を登録する場合に手間でした。

今回、CPE を一括登録する方法を2つ追加しました。

CPE 追加画面を開き、 OWASPで登録 をクリックすると、テキストエリアが現れます。そこに xml をコピーして貼り付ければ、記載されている cpe を抽出し、下に表示してくれます。

OWASP Dependency Check に記載されている cpe にはそれぞれ自動推測の信頼度が含まれており、そのレベルも一緒に表示されます。

抽出された CPE を確認し、大丈夫そうであれば、 送信 をクリックし、CPE を登録します。

CPE 追加画面を開き、 CPE一括登録 をクリックすると、テキストエリアが現れます。そこに、フリーテキストで、cpe の名前が複数入っているテキストを貼り付けると、抽出が始まります。

抽出された CPE を確認し、大丈夫であれば、 送信 をクリックし、CPE を登録します。

JPCERT や、US-CERT などの組織では、特に注意すべき深刻且つ影響範囲の広い脆弱性を定期的に公開しています。これらの脆弱性には、速やかに対応する必要があります。

今回のアップデートで、検知した脆弱性が、JPCERTの注意喚起と US-CERTのAlertsに含まれているかを確認できるようになりました。これは脆弱性のリストと、詳細どちらからも確認できます。

リストページでは、JPCERT あるいは US-CERT の情報が1件でも該当すれば、「○」が表示されます。脆弱性詳細ページでは、どの記事に含まれているかのリンクも表示されます。

JPCERT の警戒情報はこちらのページの情報を利用しています。 https://www.jpcert.or.jp/at/2018.html

認証や権限なしで攻撃できる脆弱性を簡単に検知できるようになりました。 CVSS v2なら、Au:N のもの、CVSS v3なら PV:N のものが対象になります。重要フィルタにも設定できるようになっているので、ご利用ください。

FutureVuls API で以下の変更がありました。

/v1/pkgCpe/cpe に CPE 追加用 POST メソッド追加
/v1/pkgCpe/cpe に CPE 削除用 DELETE メソッド追加
/v1/server/uuid/{serverUuid} に server 詳細取得用 GET メソッド追加
/v1/cve/{cveID}
- hasExploit を追加
- hasMitigation を追加
- hasWorkaround を追加
- advisories を追加
- serverOsFamilies 追加
/v1/cves
- hasExploit を追加
- hasMitigation を追加
- hasWorkaround を追加
- adivisoryIDs を追加
/v1/pkgCpe/pkg/{pkgID}
- newVersion を追加
- newRelease を追加
- repository を追加
/v1/pkgCpes
- newVersion を追加
- newRelease を追加
- repository を追加
/v1/server/{serverID}
- serverIpv4を追加
- platformName を追加
- platformInstanceId を追加
/v1/servers
- serverIpv4を追加
- platformName を追加
- platformInstanceId を追加
- successScanCount を追加
/v1/task/{taskID}
- hasExploit を追加
- hasMitigation を追加
- hasWorkaround を追加
- advisoryIDs を追加
/v1/tasks
- hasExploit を追加
- hasMitigation を追加
- hasWorkaround を追加
- advisoryIDs を追加