ISVforce ガイド
j既知の脆弱性があるソフトウェアの使用
自分の使用事例に関連する共通脆弱性識別子 (CVE) がソフトウェアに対して文書化されている場合、そのソフトウェアを使用することは、セキュリティの脆弱性となります。ソリューションに既知の脆弱性がある場合、セキュリティパッチが提供されたらできるだけ速やかに、そのパッチをテストしてリリースします。ソリューションで使用しているソフトウェアに、CVE で文書化されている脆弱性があるが、自分の使用事例には関連していない場合は、偽陽性に関するドキュメントを準備します。
ハッカーは、ソフトウェアの脆弱性が明らかになると、すぐに攻撃を行います。ほとんどのベンダーは、自社のソフトウェア��脆弱性が発見された場合、パッチや更新を提供します。ソリューションで使用しているソフトウェアに既知の脆弱性があるかどうかを確認するには、共通脆弱性識別子 (CVE) データベースを調べてください。
ソリューションの使用事例に関連するすべてのパッチまたは更新を適用します。脆弱性が自分の使用事例に関連していない場合は、偽陽性として文書化します。脆弱なソフトウェアをソリューションで使用しても安全である理由を説明します。セキュリティレビューチームは、この情報を使用して、ソフトウェアをソリューションで使用することを承認するかどうかを決定します。詳細は、「偽陽性」を参照してください。