InfoQ
·
Chainguard发现98%的容器CVE隐藏在前20个镜像之外
内容提要
Chainguard最新报告指出，容器镜像和开源依赖的安全漏洞问题严重，尽管流行镜像占比小，但大部分漏洞集中在不常用的长尾镜像中。报告强调及时修复关键漏洞的重要性，Chainguard平均修复时间不到20小时。44%的客户使用FIPS合规镜像，整体来看，现代软件的安全风险主要集中在不常用的开源组件上。
关键要点
-
Chainguard最新报告指出，容器镜像和开源依赖的安全漏洞问题严重。
-
流行镜像占比小，但大部分漏洞集中在不常用的长尾镜像中。
-
Chainguard平均修复时间不到20小时，强调及时修复关键漏洞的重要性。
-
44%的客户使用FIPS合规镜像，现代软件的安全风险主要集中在不常用的开源组件上。
-
报告显示，只有214个CVE实例发生在前20个镜像中，其余98%发生在长尾镜像中。
-
Chainguard在关键CVE的修复上表现出色，63.5%在24小时内解决。
-
合规性是容器安全变化的主要驱动因素，44%的客户在生产中运行至少一个FIPS合规镜像。
-
研究表明，常用的Docker Hub容器平均含有604个已知漏洞，且45%以上的漏洞超过两年未修复。
-
Sonatype的报告显示，95%的情况下，已知漏洞的组件都有修复版本，但许多依赖仍未及时修复。
-
行业响应强调图像扫描是持续集成和部署过程的标准部分，越来越多的组织将这些扫描与政策代码规则关联。
延伸问答
Chainguard的报告主要关注哪些安全问题？
Chainguard的报告主要关注容器镜像和开源依赖中的安全漏洞问题，特别是长尾镜像中的漏洞。
为什么长尾镜像的安全风险更高？
长尾镜像占据了大部分的生产使用，且大多数漏洞集中在这些不常用的镜像中，修复和治理难度较大。
Chainguard在修复安全漏洞方面的表现如何？
Chainguard在关键CVE的修复上表现出色，平均修复时间不到20小时，63.5%的漏洞在24小时内解决。
FIPS合规镜像在客户中的使用情况如何？
44%的客户在生产中使用至少一个FIPS合规镜像，以满足各种合规要求。
现代软件的安全风险主要集中在哪里？
现代软件的安全风险主要集中在不常用的开源组件上，而不是流行的镜像。
Chainguard的报告与其他研究有什么相似之处？
Chainguard的报告与NetRise的研究相似，都指出常用容器中存在大量未修复的漏洞，且风险集中在不常用的组件上。
