Salida de un escáner de imagen

Además de la severidad, un escáner como Trivy marca el estado de cada vulnerabilidad según lo que dice la fuente de datos: fixed (hay una versión corregida), affected (el paquete está afectado y aún no hay parche), will_not_fix (el proveedor no piensa corregirla), fix_deferred (se corregirá más adelante) y end_of_life (el componente ya no recibe soporte).

La tabla hallazgos trae nueve hallazgos de api-pedidos:3.2. La columna corregida_en queda vacía (—) cuando no hay versión que corrija.

Cada hallazgo apunta a una capa. Los de las capas base los corrige quien mantiene la base; los de la capa de la aplicación, el equipo del servicio. Filtra hallazgos por capa y lee con calma la severidad.

Trivy ofrece la opción --ignore-unfixed, que oculta los hallazgos que no tienen corrección disponible (estados affected, will_not_fix, fix_deferred y end_of_life) y deja solo los de estado fixed. Sirve para sacar la lista de lo que se puede arreglar hoy; no los hace desaparecer: siguen existiendo y hay que vigilarlos.

Grype, como Trivy, tiene licencia Apache-2.0 y cada uno usa su propio conjunto de fuentes de datos para decidir si un paquete está afectado. Por eso dos escáneres sobre la misma imagen no siempre dan la misma lista. Una diferencia no es un error por sí sola: es una pregunta que se resuelve mirando la fuente de cada uno.

La tabla dos_escaneres compara la misma imagen pasada por un escáner A y por un escáner B el mismo día.

Una vulnerabilidad que ve un solo escáner no se descarta ni se da por cierta sin más. El analista contrasta la fuente que cada herramienta usa, el aviso del proveedor de la distribución y la versión instalada, y deja anotada la decisión.