CoreOS veröffentlicht Version 1.0 des Container Image Security Analyzer
Gut vier Monate nach dem Lancieren des Projekts wartet clair in der ersten Hauptversion unter anderem mit aussagekräftigeren Hinweisen zur Schwachstellenbeseitigung und einer PostgreSQL-Implementierung auf.
- Julia Schmidt
CoreOS hat seinen Container Image Security Analyzer clair in Version 1.0 freigegeben. Das Open-Source-Projekt zur statischen Analyse von Schwachstellen in appc- und Docker-Containern soll sich mit dem Erreichen der ersten Hauptversion in Produktivumgebungen einsetzen lassen. Vorgestellt hatte CoreOS clair im November 2015. Seitdem erhielt das Projekt wohl eine Menge Nutzerfeedback, das sich unter anderem in Form der ergänzten Details in den Ausgaben des Werkzeugs findet.
So erhalten clair-API-Clients nun unter anderem Informationen darüber, welchen Namen und welche Version das Paket mit der Schwachstelle trägt, ob es eine aktuellere Variante gibt, die das Problem behebt und wenn ja, wie ihr Name ist. Außerdem stellt clair Metadaten wie die des Common Vulnerability Scoring System bereit und markiert die Schichten des Images, in der die Schwachstellen vorkommen. Laut CoreOS' Quentin Machu ließen sich über 70 Prozent der mit clair gefundenen Schwachstellen durch ein Update der im Image installierten Pakete beheben und für mehr als 80 Prozent der als besonders kritisch eingestuften Probleme gäbe es bereits Fixes. Die neuen Hinweise sollen dabei helfen, Schwachstellen schneller zu beseitigen.
Darüber hinaus haben sich die Entwickler mit der Performance ihres Werkzeugs beschäftigt. Da unter anderem die Interaktionen mit der Datenbank einen Engpass darstellten, gibt es nach dem Update eine neue Schnittstelle zum Abstrahieren der Datenbankoperationen mit einer eigenen Implementierung von PostgreSQL 9.4. Eine neue JSON-API soll sich zudem besser als die Vorgängerin mit anderen Systemen nutzen lassen. (jul)
