Mendは、アップストリームにパッチがないCVEを特定します。HeroDevsがその修正を提供します。
HeroDevsの「Never-Ending Support (NES) 」修正が、Mend SCAの検出結果の横に表示されるようになりました。NESサブスクリプションを利用している場合、Mend Renovateがプルリクエストを作成するため、チームは移行計画を立てる必要がなく、現在実行中のバージョンラインでパッチをレビューできます。
「脆弱性の存在を把握することは、対策の半分に過ぎません。Mend.ioの目標は、お客様のアプリケーションのセキュリティ確保を支援することであり、それは単に脆弱性を報告するだけでなく、発見された問題を解決することを意味します。HeroDevsの導入により、Mend SCAを利用しているMend AppSecのお客様は、アップストリームからのパッチ提供が終了したサポート終了済みのオープンソース依存関係におけるCVEを解決できるようになりました。」
アサフ・サール
Mend.io 最高製品責任者
「Mend」による発見から統合された修正まで
.webp)
1. Mend SCA が CVE を報告する
Mendは現在と同様にリポジトリをスキャンし、アップストリームからの修正が提供されなくなったパッケージのバージョンについてCVEを報告します。
.webp)
2. 「Mend」では、NESの修正点が紹介されています
HeroDevsは、パッケージおよびバージョンごとに、NESによるCVEの修正情報を継続的に公開しているため、Mend SCAでは、新しいメジャーバージョンへの移行を行うことなく、そのCVEを修正したNESリリースを指定することができます。
3. Mend Renovate がプルリクエストを生成します
NESのサブスクリプションを契約しているチームの場合、Mend Renovateは、脆弱性のあるバージョンをNESの配布版と置き換える置換プルリクエストを作成します。チームは、そのプルリクエストをレビューし、テストを実行した上でマージを行います。
.webp)
4. 調査結果は次のように結論づけられている
Mendは、各NESバージョンがどのCVEに対処しているかを認識しているため、そのNESバージョンがインストールされると、MendはそれらのCVEへのフラグ付けを停止します。
アップグレード、移行、それともNES：調査結果に応じて決定する
上流のパッチがない不具合は、移行が完了するまで未解決のままとなり、組織はその不具合をすべての監査や顧客によるセキュリティレビューに持ち越すことになります。Mend SCA では、HeroDevs による修正案が他の提案された修正案と並んで表示されるため、チームは不具合ごとに最適な対応策を選択できます。
お使いのパッケージの新しいバージョンには、上流側の修正が反映されています
推奨バージョンに、手動または「Mend Renovate」を使用してアップグレードしてください。
上流へのパッチは提供されておらず、今四半期中に移行が予定されています
NESを活用して、移行が完了するまでセキュリティを確保し、コンプライアンスを遵守しましょう。
上流へのパッチはなく、移行までには数ヶ月から数年かかる見込みです
NESをご利用ください。NESなら、お客様が計画を立てる間も、バージョンラインを常に最新の状態に保ち、セキュリティを確保し、コンプライアンスを遵守し続けます。
NESがどのMendの調査結果をカバーしているか確認してください
HeroDevsは、お客様のアプリケーションに含まれるサポート対象外のオープンソースソフトウェアにおけるCVEの「Mend」フラグを、NESのカバレッジにマッピングします。
HeroDevs NES および Mend に関するよくある質問
Mendの統合機能に関して、よく寄せられる質問への回答です。お探しの情報が見つからない場合は、お気軽にお問い合わせください。
NESがどのMendの調査結果をカバーしているか確認してください
