Cloud Manager:Selenium CI/CD Docker イメージのSnyk コンテナの脆弱性

最終更新日： 2026年7月27日

Snyk Container スキャンは、Adobe Experience Manager（AEM）Cloud Manager パイプラインでSelenium UI テストに使用されるDocker イメージのOS レベルの脆弱性をレポートします。この結果は、アップストリームのベースイメージから継承されたシステムパッケージに影響を与え、プロジェクトレベルのDockerfileの変更では対応できません。この問題を解決するには、Adobe セキュリティのガイダンスと修復手順に従います。

説明 description

環境

Adobe Experience Manager（AEM）Cloud Manager（すべてのバージョン）

問題/症状

CI/CD パイプラインでのSelenium UI テスト実行に使用されるDocker イメージのSnyk Container スキャンでは、アップストリームベース画像maven:3.9.4-eclipse-temurin-21から継承されたシステムパッケージのOS レベルの脆弱性245が報告されます。影響を受けるパッケージには、次のものが含まれます。

openssl
curl
グリク
gnupg
gnutls
bash
perl

これらの脆弱性は、プロジェクトチームが管理するアプリケーションコードには存在せず、ベースイメージから継承されます。 DockerfileはCloud Managerの規則に従い、変更を行わないとマークされ、影響を受けるパッケージへの直接的な変更を防ぎます。
調査結果はコンプライアンスとガバナンスプロセスに影響を与え、是正措置の実現可能性や計画された修正についてベンダーによる説明が必要になります。

スキャンツール： Snyk Container （Dockerfile）

再現するには： Cloud Manager パイプラインで使用されているDockerfileに対してSnyk Container スキャンを実行します。

根本原因

この脆弱性は、アップストリームのベース Docker イメージにバンドルされたシステムパッケージに存在し、Cloud Manager Selenium CI/CD イメージによって継承されます。 Adobeは、ベースとなる画像のセキュリティアップデートやパッチを提供するアップストリームプロバイダーに依存しています。

解決策 resolution

画像のメンテナンスについて
- Cloud Manager パイプラインでSelenium UI テストに使用されるDockerfileと関連する基本イメージは、Adobeによって管理されますが、基本イメージ（maven:3.9.4-eclipse-temurin-21）はアップストリームプロバイダーから取得されます。
脆弱性の所有権
- ベースイメージに見つかったOS レベルの脆弱性は、アップストリームの依存関係から継承され、プロジェクトコードやAdobe固有の変更によって導入されることはありません。
セキュリティ問題の報告
- Adobeで管理されている画像のセキュリティ問題を正式に報告または修正をリクエストするには、Adobe セキュリティ情報の「Adobe製品、オンラインサービス、またはweb プロパティのセキュリティ問題を報告するにはどうすればよいですか？」に記載されているAdobe セキュリティチームにお問い合わせください。
- ドキュメントに記載されているアドレスに直接セキュリティチームにメールを送信します。
修正と更新
- Adobeでは、アップストリームパッチが利用可能になると、ベースイメージを定期的にレビューおよび更新します。バージョンを変更せずに脆弱性がアップストリームにパッチ適用された場合でも、画像が再構築されて公開されるまで、セキュリティスキャンツールが問題をフラグする場合があります。
- プロジェクト側で修正が実行できない場合（DO NOT MODIFY ポリシーが原因）、Adobe Securityに正式な確認を依頼して、内部リスク例外プロセスをサポートします。
内部例外プロセス
- ベンダーからの救済が不可能な場合は、Adobeの正式な対応をもとに、自社の内部リスクに関する例外やコンプライアンスプロセスに進めてください。

recommendation-more-help

experience-cloud-kcs-help-kbarticles