bundler-audit

バンドラーオーディット（セキュリティ）

意味 Gemの脆弱性チェックツール

bundler-auditとは？

bundler-auditは、Rubyプロジェクトで使用されているGemの既知の脆弱性をチェックするためのセキュリティツールです。Gemfileとその依存関係を分析し、セキュリティ上の問題がある場合に警告を出します。

bundler-auditの具体的な使い方

基本的な脆弱性チェック

# bundler-auditのインストール
gem install bundler-audit

# プロジェクトディレクトリで実行
bundle audit check --update

👇出力結果

Updating ruby-advisory-db ...
Updating to 7f51e2df0e0e22b99cca866e89e3a0fe0c991eaf...
Name: actionpack
Version: 3.2.10
Advisory: CVE-2020-8164
Criticality: High
URL: https://groups.google.com/forum/#!topic/rubyonrails-security/f6ioe4sdpbY
Title: Possible Strong Parameters Bypass in ActionPack
Solution: upgrade to ~> 5.2.4.3, >= 6.0.3.1

Unpatched versions found!

この例では、まずbundler-auditをインストールし、次にプロジェクトディレクトリで実行します。--updateオプションを使用して、最新の脆弱性データベースを使用してチェックを行います。

脆弱性の修正

# 脆弱性のあるGemをアップデート
bundle update actionpack

# 再度チェックを実行
bundle audit check --update

👇出力結果

Updating ruby-advisory-db ...
Updating to 7f51e2df0e0e22b99cca866e89e3a0fe0c991eaf...
No vulnerabilities found

この例では、検出された脆弱性のあるGemをアップデートし、再度bundler-auditを実行して脆弱性が解消されたことを確認します。

CI/CDパイプラインでの使用

#!/bin/bash
# CIスクリプトの一部として

bundle audit check --update

if [ $? -ne 0 ]; then
  echo "脆弱性が見つかりました。修正してください。"
  exit 1
else
  echo "脆弱性は見つかりませんでした。"
  exit 0
fi

👇出力結果

脆弱性は見つかりませんでした。

この例では、CI/CDパイプラインでbundler-auditを使用する方法を示しています。脆弱性が見つかった場合、ビルドを失敗させることで、セキュリティ問題を早期に発見し対応することができます。

bundler-auditに関するよくある質問

Q. bundler-auditとは何ですか？

A. bundler-auditは、Rubyプロジェクトで使用されているGemの既知の脆弱性をチェックするためのセキュリティツールです。Gemfileとその依存関係を分析し、セキュリティ上の問題がある場合に警告を出します。

Q. 使用頻度はどのくらいですか？

A. bundler-auditは、定期的に使用することをお勧めします。特に、新しいGemを追加したり、既存のGemをアップデートしたりした後に実行するとよいでしょう。また、継続的インテグレーション（CI）プロセスの一部として組み込むこともできます。

Q. 脆弱性が見つかった場合どうする？

A. 脆弱性が見つかった場合は、影響を受けるGemを安全なバージョンにアップグレードすることをお勧めします。bundler-auditは通常、脆弱性の詳細と推奨される解決策（例：アップグレード先のバージョン）を提供します。

Q. オフラインで使用できますか？

A. bundler-auditは通常、最新の脆弱性データベースを使用するためにインターネット接続を必要とします。ただし、--updateオプションを使用せずに実行すると、最後にダウンロードしたデータベースを使用してオフラインで動作することができます。

Q. falseポジティブの可能性は？

A. bundler-auditは非常に信頼性が高いツールですが、まれに誤検出（falseポジティブ）が発生する可能性があります。そのため、報告された脆弱性を常に確認し、必要に応じて追加の調査を行うことが重要です。

bundler-auditが学べる書籍の紹介

「プログラミング単語帳」を使って、プログラミングの単語を英単語のように学習してみませんか？
プログラミング単語帳には、Rubyのbundler-auditやOpenSSL、sanitize、escape_html、などのような実務でよく使われる単語が数百以上収録されています。
この書籍には、プログラミングの単語の意味や読み方、単語の使い方がわかる例文などが掲載されており、いつでもどこでもプログラミングの学習ができます。

よく使われる単語にだけ絞って学習することができるので、効率的にプログラミングが学習できます。