はじめに

Amazon Inspector v2でAmazon Linuxを継続的にスキャンしていると、ソフトウェアパッケージの脆弱性を知らせるアラートにCVE番号が表示されます。 アラートの詳細や参照先を調べる過程で目にするのが、Amazon Linux Security CenterのALAS番号です。 どちらも脆弱性に関する識別子に見えるため、同じ問題に別の識別子を割り当てただけだと考えられがちです。 しかし、CVEとALASでは識別する対象が異なります。

ALAS（Amazon Linux Security Advisory）は、Amazon Linuxに影響するセキュリティ上の問題と、その修正に使うパッケージをAWSがまとめたアドバイザリです。 一方、CVEは、公開された個々の脆弱性を製品や組織をまたいで参照するための共通識別子です。 CVEが「どの脆弱性か」を示すのに対し、ALASは「Amazon Linuxでは何が影響を受け、どの更新で対処するか」を示します。

この違いが分からないままCVEの点数だけを見ると、Amazon Linuxでは影響を受けない問題へ対応を急ぐことがあります。 一方、修正版パッケージが公開済みでも、更新対象を特定できずに対応が止まることがあります。 ALASを読めるようになると、一般的な脆弱性情報をAmazon Linux上の具体的な更新作業へ結び付けられます。

ALASはAmazon Linux向けのセキュリティ更新情報

AWSは、Amazon Linuxに関係する問題と更新情報をAmazon Linux Security Centerで公開しています。 Amazon Linux 2023の公式ドキュメントによると、原則として修正版がRPMリポジトリからインストールできる状態になった後、対応するアドバイザリが公開されます。 公開日であるAdvisory Released Dateは、関連するセキュリティ更新がRPMリポジトリで最初に利用可能になった日を表します。

各ALASには、アドバイザリID、深刻度、対象パッケージ、関連するCVE、問題の概要、修正版パッケージが記載されます。 そのため、CVE情報だけでは分からないAmazon Linux固有の影響評価と、適用すべきパッケージバージョンを同じページで確認できます。 AWSが後からCVEや説明を追加した場合は、Advisory Updated Dateも更新されます。

ALASのIDは、歴史的には名前空間、作成年、番号を組み合わせた形式です。 Amazon Linux 2023では、Webサイト上の表示がALAS-2024-581でも、パッケージ管理ツールであるDNFではALAS2023-2024-581と表示される例があります。 特定のアドバイザリをDNFで指定するときは、Webページの表記をそのまま使わず、DNFに表示されたIDを使用します。

CVEは公開された脆弱性を識別する共通ID

CVE（Common Vulnerabilities and Exposures）は、公開された脆弱性を一意に識別するための仕組みです。 CVEの公式サイトでは、CVEレコードによって複数の人やツールが同じ脆弱性を参照し、対応を調整できるとしています。 CVE-2024-12345のような共通IDがあることで、ソフトウェア開発元、OSベンダー、脆弱性データベース、利用組織が同じ脆弱性を照合できます。

ただし、CVE IDが付いたことは、すべての製品や構成が影響を受けるという判定ではありません。 同じソフトウェアを含んでいても、採用したバージョン、ビルド時の設定、機能の有効化状況、修正のバックポートによって影響は変わります。 Amazon Linuxでの該当性と対処方法は、AWSによる評価を併せて確認する必要があります。

ALASとCVEでは識別する対象と用途が異なる

比較項目 ALAS CVE
識別する対象 Amazon Linux向けのアドバイザリ 公開された個々の脆弱性
主な発行主体 Amazon Linuxチーム CVE採番機関（CNA）が割り当て、公開
主な情報 Amazon Linuxでの影響、深刻度、対象パッケージ、修正版 脆弱性の共通ID、説明、関連資料
主な用途 Amazon Linuxで必要な更新を判断し、適用する 製品やデータベースをまたいで同じ脆弱性を追跡する
対応関係 1件で複数のCVEを扱う場合がある 1件が複数のALASに含まれる場合がある
修正版の有無 原則として修正版パッケージの公開後に発行される CVE IDの公開時点で修正版があるとは限らない

ALASとCVEは、1対1に対応するとは限りません。 1件のパッケージ更新で複数の脆弱性を修正する場合、1件のALASに複数のCVEが記載されます。 反対に、1件のCVEが複数のALASで扱われる場合もあります。 たとえばCVE-2024-21208では、Amazon Linux 2023のCorretto 8、11、17、21に対して、それぞれ別のALASが発行されています。

AWSの公式ドキュメントは、CVEがまだ割り当てられていない問題を修正する場合など、ALASがCVEを1件も参照しない可能性も示しています。 したがって、CVE番号だけをキーにしてアドバイザリ件数や更新件数を数えると、実際の対応単位とずれることがあります。 脆弱性の追跡にはCVE、Amazon Linuxの更新作業にはALASとパッケージを使い分けます。

ALASの深刻度がほかのデータベースと異なる理由

同じCVEでも、ALASとNVDなどで深刻度やCVSSスコアが異なる場合があります。 これは、どちらかが誤っているからとは限りません。 Amazon Linux Security CenterのFAQによると、Amazon Linuxは採用バージョン、実行基盤、既定の構成、ビルド環境などを踏まえ、各CVEが自社製品へ与える影響を評価します。

ALASの深刻度は、Critical、Important、Moderate、Lowの順で示されます。 1件のALASに深刻度が異なる複数のCVEが含まれていても、ALAS自体には1つの深刻度が付き、通常はAmazon Linuxが評価したCVEのうち最も高いCVSSスコアを反映します。 ただし、CVEが未採番の問題を含む場合など、常に機械的に一致するわけではありません。

対応優先度は、外部データベースの数値だけでもALASの深刻度だけでも決まりません。 ALASでAmazon Linux固有の評価を確認したうえで、対象インスタンスが外部公開されているか、脆弱な機能を使用しているか、扱う情報と停止時の影響は何かを重ねます。 深刻度は調査の入口であり、自社環境のリスク評価そのものではありません。

CVEステータスからAmazon Linuxへの影響を判断する

Amazon Linux Security CenterのCVE Explorerでは、Amazon Linuxの各リリースやパッケージに対するCVEの評価を確認できます。 RPMリポジトリのアドバイザリ情報は修正版があるCVEを扱いますが、CVE Explorerには修正前の評価や、影響を受けないと判断されたCVEも含まれます。 修正版の公開を待っている段階では、ALASだけを検索しても必要な情報が見つからないことがあります。

ステータス Amazon Linuxでの意味 運用上の確認
Not Affected 対象パッケージを提供していない、すでに修正済み、または脆弱なコード経路がビルド時に無効などの理由で影響を受けない 対象OSとパッケージが評価結果に一致するかを確認する
Pending Fix 提供中の最新パッケージが影響を受け、Amazon Linuxが修正を準備している 緩和策、公開範囲、修正版の公開状況を継続して確認する
No Fix Planned 現時点では修正版を公開する予定がない 記載された理由と推奨緩和策を確認し、利用停止や構成変更を検討する
Fixed 修正版がRPMリポジトリで利用できる 対象のALASと修正版を確認し、検証後に適用する

CVEステータスは、新しい情報や調査結果によって変わります。 一度Not Affectedと確認した結果も、資産台帳へ根拠と確認日を残し、AWSが評価を更新したときに見直せるようにします。 Pending Fixでは修正版を待つだけでなく、対象機能の停止やアクセス制限など、ALASが公開されるまでの一時的な対策が必要かを判断します。

Amazon InspectorでAmazon Linuxを評価する

数台のインスタンスならDNFでも確認できますが、複数のアカウントにEC2インスタンスやコンテナイメージが広がると、手作業では確認漏れが起きます。 Amazon Inspectorの対応OS情報では、Amazon Linux 2023のEC2とAmazon ECRの検出に、ベンダー情報としてALAS Errata CVEを使用すると示されています。 Amazon Inspectorを有効にすると、対象リソースとパッケージ情報を脆弱性情報へ照合し、該当するFindingを継続的に確認できます。

ただし、Amazon Inspectorが対応するLinux OSパッケージの検出は、原則として既定のパッケージマネージャーリポジトリが対象です。 手動で配置したバイナリや一部の追加リポジトリ、アプリケーション内の依存ライブラリは別の検査が必要になる場合があります。 ALASに掲載されたCVEが、管理するすべてのソフトウェアを覆うわけではありません。

まとめ

ALASは、Amazon Linuxに影響するセキュリティ上の問題と修正版パッケージを、AWSがAmazon Linux向けに整理したアドバイザリです。 CVEは公開された個々の脆弱性を識別する共通IDであり、Amazon Linux上の更新単位ではありません。 1件のALASと複数のCVE、または1件のCVEと複数のALASが対応することもあります。

脆弱性情報を受け取ったら、CVEで問題を特定し、CVE ExplorerでAmazon Linuxへの影響とステータスを確認します。 修正版がある場合はALASで対象パッケージと修正版を照合し、DNFが表示するアドバイザリIDを使って検証済みのAmazon Linux 2023リリースへ更新します。

ALASの確認は、パッチ適用の開始点です。 複数の環境ではAmazon Inspectorや更新通知を組み合わせ、対象資産の特定、優先順位付け、検証、展開、適用後の確認まで記録することで、CVE番号を実際のリスク低減へつなげられます。

Amazon Linux上のWebアプリケーションも診断する場合

本記事で扱ったAmazon InspectorによるOSパッケージの評価は、既知の脆弱性があるパッケージの把握に役立ちます。 ただし、Amazon Linux上で動作するWebアプリケーションの認証や権限、ビジネスロジックの問題は、別の観点で確認する必要があります。

弊社の脆弱性診断サービスでは、Webアプリケーション、スマホアプリ、プラットフォームなどを対象に、手動診断を中心とした検査を提供しています。 Amazon Inspectorによる日常的な確認を補完する検証としてご活用ください。

脆弱性診断サービスの詳細を見る