HeroDevsがVEXデータの公開を開始：誤検知の減少、ノイズの低減

HeroDevsはOpenVEXデータの公開を開始しました。これにより、スキャンツールがノイズを自動的に除外できるようになります。

HeroDevsは、「Never-Ending Support」製品カタログ向けに、Vulnerability Exploitability eXchange（VEX）データの提供を開始しました。2025年には48,000件以上のCVEが公開されており、セキュリティチームはアラートの洪水に埋もれかけています。VEXを利用すれば、スキャンツールが不要な情報を自動的に排除し、重要な情報のみを抽出することが可能になります。

‍

はじめに：HeroDevsのVEXデータへのアクセス

HeroDevsのVEXフィードがAPIを通じて利用可能になりました：

VEXドキュメント全文： https://apps.herodevs.com/api/ontology/vex/statements

APIドキュメント： https://docs.herodevs.com/api/ontology-vex

重要：HeroDevsのVEXに関する規定は、HeroDevsの「Never-Ending Support」製品にのみ適用されます。同じソフトウェアの上流のオープンソース版には適用されません。

‍

VEXとは何か、そしてなぜそれが重要なのか？

VEXドキュメントとは、特定の脆弱性に関する特定の製品の状況を宣言する、機械可読形式のアドバイザリです。脆弱性スキャナがVEXステートメントを取り込むと、誤検知（すでに修正済みの脆弱性、あるいはそのビルドには該当しない脆弱性に関するアラート）を自動的に除外することができます。

これは、サポート対象の長期サポート版ソフトウェアを導入している組織にとって特に有益です。HeroDevsでは、製品の脆弱性が公表され次第、積極的にパッチを適用しています。VEXは、その対応状況をスキャンツールに自動的に通知します。

‍

HeroDevs VEX が OpenVEX に公開されました

CISAはVEXの最低要件を定めており、現在、いくつかの実装が存在する：

OpenVEX—仕様
CSAF VEX プロファイル—仕様
CycloneDX VEX—仕様
SPDX 3.0—仕様

OpenVEXを選んだ理由は、VEX専用に設計されており、軽量である上、ツールエコシステム全体で広く採用されつつあるからです。最も広く利用されているオープンソースの脆弱性スキャナーのうち2つ、Trivy（Aqua Security）とGrype（Anchore）は、すでにOpenVEXドキュメントをネイティブでサポートしています。TrivyのVEXサポートおよび GrypeのVEXフィルタリングについては、こちらをご覧ください。

‍

具体的な例

以下の OpenVEX の声明によると、CVE-2025-66412 は、HeroDevs による@angular/compilerパッケージのセキュアフォークにおいて修正されたとのことです：

‍

「pkg:」で始まる製品識別子にご注目ください。これはPackageURL（purl）です。OpenVEX 仕様では、パッケージを識別する標準的な方法として purl の使用が推奨されており、HeroDevsではすでにカタログ API 全体でこれを採用しています。詳細については、purl 仕様を参照してください。この一貫性があるからこそ、自動スキャンがシームレスに機能するのです。

‍

スキャンワークフローへのVEXの統合

誤検知を減らす最も直接的な方法は、HeroDevsのVEXデータを、すでにOpenVEXに対応しているスキャナーと組み合わせることです。TrivyもGrypeも、ネイティブでこれに対応しています。

いずれかのスキャナーでHeroDevs VEXステートメントを取り込むように設定するには、まず公式ドキュメント「Trivy VEXの設定」および「Grype VEXの設定」を参照してください。まずは動作例をご覧になりたい場合は、当社の『スキャナー・ワークフロー・ガイド』に、両ツールを使用してSpring のPetClinicをHeroDevs VEXステートメントでスキャンする手順が詳しく記載されています。

‍

すでに持っているものとどのように組み合わされるか

HeroDevsでは、対処する脆弱性1件につき、すでに2つのセキュリティ関連リソースを公開しています。「脆弱性ディレクトリ」では、各脆弱性について詳細に解説し、その対策方法を説明するとともに、多くのケースで再現手順も掲載しています。また、リリースノートでは、製品ごとにセキュリティ修正内容を一覧表示しています。

これら2つは、いずれも現状のまま維持されます。VEXフィードは代替ではなく、補完的なものです。これは、スキャンツールやDevSecOpsパイプライン向けに構築された、同じデータの機械可読版です。