Grype 容器和 SBOM 漏洞扫描器

要解决什么问题

在镜像进入生产环境前，你需要知道它是否携带了已知漏洞。但漏洞数据分散在多个来源，不同语言、不同包管理器的解析方式也不同，手动跟踪 CVE 既不现实也不可靠。Grype 容器和 SBOM 漏洞扫描器把这一过程自动化，让你对镜像和 SBOM 中的组件有清晰的漏洞视图。

核心能力

• 多类型目标扫描：支持容器镜像（Docker、OCI、Singularity）、文件系统目录，以及 SBOM 文件。
• 广泛的包生态覆盖：支持主流操作系统包管理器（APT、YUM、Zypper 等）以及语言级包（RubyGems、Maven、npm、PyPI、.NET、Go、Packagist、Crates 等）。
• EPSS 风险评分：为每个漏洞提供 EPSS 分数，帮助优先处理高风险问题。
• OpenVEX 过滤：通过 OpenVEX 声明过滤已接受或已修复的漏洞，减少噪音。

工作原理

Grype 匹配器（matcher）负责识别目标中的软件包及其版本，匹配器描述（matcher descriptor）则包含版本比较逻辑。系统将目标中的包与漏洞数据库进行匹配，数据库通过数据库扫描器（database scanner）集成到 CLI 工具中。漏洞数据库通过订阅或公共源获取。

适用边界与注意点

• Grype 只能检测已知漏洞（已记录在漏洞数据库中的 CVE/漏洞）。零日漏洞或未收录的私有漏洞不在其检测范围内。
• EPSS 评分仅反映漏洞被利用的概率，不等于漏洞的严重性，需结合 CVSS 分数综合判断。
• OpenVEX 过滤需要你正确维护漏洞声明，声明缺失会导致噪音增加。
• 扫描结果依赖于漏洞数据库的更新频率，延迟更新可能导致新漏洞未被检出。