脆弱性発見API
GitLab 12.5で導入されました。
脆弱性は脆弱性オブジェクトを提供するために予約されているため、このAPIリソースはVulnerabilitiesからVulnerability Findingsに名前が変更されました。以前の脆弱性APIとの壊れたインテグレーションを修正するには、
vulnerabilities URL部分をvulnerability_findings.脆弱性発見へのすべてのAPIコールは認証されなければなりません。
ユーザーがプロジェクトセキュリティダッシュボードを使用する権限を持っていない場合、このプロジェクトの脆弱性調査結果に対するリクエストは403 Forbidden ステータスコードを返します。
このAPIは廃止予定であり、不安定なAPIです。レスポンスのペイロードは、GitLabのリリース間で変更または破損する可能性があります。代わりにGraphQL APIを使用してください。まずはGraphQL のサンプルをご覧ください。
脆弱性発見ページネーション
デフォルトでは、APIの結果はページ分割されているため、GET リクエストは一度に20件の結果を返します。
ページ分割についての詳細はこちらをご覧ください。
プロジェクトの脆弱性発見リスト
プロジェクトで発見された脆弱性をすべてリストアップします。
GET /projects/:id/vulnerability_findings
GET /projects/:id/vulnerability_findings?report_type=sast
GET /projects/:id/vulnerability_findings?report_type=container_scanning
GET /projects/:id/vulnerability_findings?report_type=sast,dast
GET /projects/:id/vulnerability_findings?scope=all
GET /projects/:id/vulnerability_findings?scope=dismissed
GET /projects/:id/vulnerability_findings?severity=high
GET /projects/:id/vulnerability_findings?confidence=unknown,experimental
GET /projects/:id/vulnerability_findings?pipeline_id=42
GitLab 12.9から、
undefined の深刻度と信頼度が報告されなくなりました。| 属性 | 種類 | 必須 | 説明 |
|---|---|---|---|
id | 整数/文字列 | yes | 認証ユーザーが所属するプロジェクトのIDまたはURLエンコードされたパス。 |
report_type | 文字列配列 | いいえ | 指定されたレポート・タイプに属する脆弱性調査結果を返します。有効な値：sast dast 、dependency_scanning 、またはcontainer_scanning。デフォルトは all です。 |
scope | 文字列です。 | いいえ | 指定されたスコープに対する脆弱性調査結果を返します:all またはdismissed.デフォルトは dismissed. |
severity | 文字列配列 | いいえ | 指定された深刻度レベルに属する脆弱性の所見を返します：info unknown,low,medium,high, またはcritical。デフォルトはすべてです。 |
confidence | 文字列配列 | いいえ | 指定された信頼レベルに属する脆弱性の所見を返します：ignore unknown,experimental,low,medium,high, またはconfirmed。デフォルトはすべてです。 |
pipeline_id | 整数/文字列 | いいえ | 指定したパイプラインに属する脆弱性の所見を返します。 |
curl --header "PRIVATE-TOKEN: <your_access_token>" "https://gitlab.example.com/api/v4/projects/4/vulnerability_findings"
応答例
[
{
"id": null,
"report_type": "sast",
"name": "Possible command injection",
"severity": "high",
"confidence": "high",
"scanner": {
"external_id": "brakeman",
"name": "Brakeman",
"vendor": "GitLab"
},
"identifiers": [
{
"external_type": "brakeman_warning_code",
"external_id": "14",
"name": "Brakeman Warning Code 14",
"url": "https://brakemanscanner.org/docs/warning_types/command_injection/"
}
],
"project_fingerprint": "ac218b1770af030cfeef967752ab803c55afb36d",
"uuid": "ad5e3be3-a193-55f5-a200-bc12865fb09c",
"create_jira_issue_url": null,
"false_positive": true,
"create_vulnerability_feedback_issue_path": "/root/test-false-positive/-/vulnerability_feedback",
"create_vulnerability_feedback_merge_request_path": "/root/test-false-positive/-/vulnerability_feedback",
"create_vulnerability_feedback_dismissal_path": "/root/test-false-positive/-/vulnerability_feedback",
"project": {
"id": 2,
"name": "Test False Positive",
"full_path": "/root/test-false-positive",
"full_name": "Administrator / Test False Positive"
},
"dismissal_feedback": null,
"issue_feedback": null,
"merge_request_feedback": null,
"description": null,
"links": [],
"location": {
"file": "app/controllers/users_controller.rb",
"start_line": 42,
"class": "UsersController",
"method": "list_users"
},
"remediations": [
null
],
"solution": null,
"evidence": null,
"request": null,
"response": null,
"evidence_source": null,
"supporting_messages": [],
"assets": [],
"details": {},
"state": "detected",
"scan": {
"type": "sast",
"status": "success",
"start_time": "2021-09-02T20:55:48",
"end_time": "2021-09-02T20:55:48"
},
"blob_path": "/root/test-false-positive/-/blob/dfd75607752a839bbc9c7362d111effaa470fecd/app/controllers/users_controller.rb#L42"
}
]
脆弱性調査REST APIをGraphQLで置き換えます。
Vulnerability Findings REST APIエンドポイントの今後の非推奨に備えるため、以下の例を使用して同等のオペレーションをGraphQL APIで実行してください。
GraphQL - プロジェクトの脆弱性調査結果
Pipeline.securityReportFindingsを使用してください。
query VulnerabilityFindings {
project(fullPath: "gitlab-examples/security/security-reports") {
pipelines(first:1) {
nodes {
securityReportFindings(first:1) {
nodes {
title
severity
state
scanner {
externalId
name
vendor
}
identifiers {
externalType
externalId
name
url
}
uuid
falsePositive
description
location {
... on VulnerabilityLocationSast {
file
startLine
endLine
vulnerableClass
vulnerableMethod
blobPath
}
... on VulnerabilityLocationContainerScanning {
dependency {
package {
name
}
version
}
image
operatingSystem
}
... on VulnerabilityLocationDependencyScanning {
file
blobPath
dependency {
version
}
}
}
remediations {
diff
summary
}
solution
evidence {
request {
body
headers {
name
value
}
method
url
}
}
}
}
}
}
}
}
応答例
{
"data": {
"project": {
"pipelines": {
"nodes": [
{
"securityReportFindings": {
"nodes": [
{
"title": "Deserialization of Untrusted Data",
"severity": "CRITICAL",
"state": "CONFIRMED",
"scanner": {
"externalId": "gemnasium",
"name": "Gemnasium",
"vendor": "GitLab"
},
"identifiers": [
{
"externalType": "gemnasium",
"externalId": "b60c2d6b-9083-4a97-a1b2-f7dc79bff74c",
"name": "Gemnasium-b60c2d6b-9083-4a97-a1b2-f7dc79bff74c",
"url": "https://gitlab.com/gitlab-org/security-products/gemnasium-db/-/blob/master/gem/activerecord/CVE-2022-32224.yml"
},
{
"externalType": "cve",
"externalId": "CVE-2022-32224",
"name": "CVE-2022-32224",
"url": "https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32224"
},
{
"externalType": "ghsa",
"externalId": "GHSA-3hhc-qp5v-9p2j",
"name": "GHSA-3hhc-qp5v-9p2j",
"url": "https://github.com/advisories/GHSA-3hhc-qp5v-9p2j"
}
],
"uuid": "c9e40395-72cd-54f5-962f-e1d52c0dffab",
"falsePositive": false,
"description": "A possible escalation to RCE vulnerability exists when using YAML serialized columns in Active Record < 7.0.3.1, <6.1.6.1, <6.0.5.1 and <5.2.8.1 which could allow an attacker, that can manipulate data in the database (via means like SQL injection), the ability to escalate to an RCE.",
"location": {
"file": "dependency-scanning-files/Gemfile.lock",
"blobPath": null,
"dependency": {
"version": "5.0.0"
}
},
"remediations": [],
"solution": "Upgrade to versions 5.2.8.1, 6.0.5.1, 6.1.6.1, 7.0.3.1 or above.",
"evidence": null
}
]
}
}
]
}
}
}
}