Grype: CVE по сохранённому SBOM

Безопасность · Уязвимости

Не изучено

Добавлено 2026-10-29.

Проблема

SBOM от Syft сохранён с релизом, но сам по себе он не говорит, есть ли в составе уязвимости. Новые CVE появляются после выпуска.

Решение

Сканировать сохранённый SBOM Grype: без повторной сборки и без доступа к образу. Падать на заданной серьёзности, игнорировать только с записанной причиной.

Пример

grype sbom:./sbom.cdx.json --fail-on high --only-fixed

.grype.yaml — исключение с обоснованием:

ignore:
  - vulnerability: CVE-2026-00000
    reason: "Уязвимый код не вызывается; пересмотреть при обновлении базового образа"

--fail-on возвращает код 2 при уязвимости заданной серьёзности и выше; --only-fixed убирает уязвимости без исправления.

Когда применять

Для каждого релиза, у которого сохранён SBOM, и повторно по расписанию для уже выпущенных релизов. Если в CI уже есть Trivy, заранее решить, чей результат блокирует релиз.

Источник

• anchore/grype
• Флаги --fail-on и --only-fixed
• Поля правила исключения

Как применить у себя

1. Просканировать SBOM текущего релиза.
2. Сравнить с отчётом Trivy по тому же образу и записать расхождения.
3. Добавить сканирование в CI с --fail-on high.
4. Отметить «Изучено» после первого еженедельного пересканирования старого релиза.