关于JFrog Xray误报libncurses6 6.3-2ubuntu0.1存在CVE-2022-29458的咨询

我正在使用JFrog Xray对项目进行安全漏洞扫描，扫描结果如下：

| SEVERITY | DIRECT                    | DIRECT  | IMPACTED                  | IMPACTED               | FIXED    | TYPE   | CVE            |
|          | PACKAGE                   | PACKAGE | PACKAGE                   | PACKAGE                | VERSIONS |        |                |
|          |                           | VERSION | NAME                      | VERSION                |          |        |                |
+----------+---------------------------+---------+---------------------------+------------------------+----------+--------+----------------+
| 🔥High   | sha256__01d4e4b4f381ac5a9 |         | ubuntu:jammy:libncurses6  | 6.3-2ubuntu0.1         |          | Debian | CVE-2022-29458 

结果指出ubuntu:jammy:libncurses6 6.3-2ubuntu0.1版本存在高风险漏洞CVE-2022-29458。但我的Docker镜像已是最新版本，根据Ubuntu安全公告及补丁文件，该版本应已修复此漏洞。特此咨询该扫描结果是否为误报，以及如何解决该问题？

一、先确认是否为误报 #

1. 验证镜像内包的修复状态

   • 启动镜像并进入容器：docker run -it --rm <你的镜像ID/名称> bash
   • 确认包版本：dpkg -s libncurses6 | grep Version，确保输出为6.3-2ubuntu0.1
   • 查看更新日志：apt changelog libncurses6，检查日志中是否包含CVE-2022-29458的修复记录
   • 若无法查看changelog，可下载对应补丁文件，提取后对比镜像中libncurses相关文件，确认补丁已应用

2. 核对官方修复信息
   确认Ubuntu官方公告明确标注6.3-2ubuntu0.1版本包含该CVE的修复，这是判断误报的核心依据

二、排查JFrog Xray配置问题 #

1. 检查漏洞数据库同步状态

   • 登录Xray后台，进入Administration > Vulnerability Sources，确认Ubuntu安全数据源已启用
   • 查看同步任务记录，确认最近有成功完成的同步操作
   • 手动触发同步：在Ubuntu数据源页面点击Sync Now，完成后重新扫描镜像

2. 确认版本匹配规则
   查看Xray中CVE-2022-29458的详情，确认其标记的受影响版本范围是否错误包含6.3-2ubuntu0.1

三、处理误报的具体操作 #

1. 创建漏洞豁免规则

   • 进入Xray的Policies > Exceptions，点击Add Exception
   • 选择Vulnerability Exception，指定CVE编号CVE-2022-29458，限定受影响包为ubuntu:jammy:libncurses6版本6.3-2ubuntu0.1
   • 填写豁免理由为“误报：该版本已包含官方修复补丁”，保存后后续扫描将不再触发该告警

2. 反馈给JFrog官方
   通过JFrog支持渠道提交误报信息，包含CVE编号、包版本、官方修复依据，帮助官方更新漏洞数据库的版本映射

内容的提问来源于stack exchange，提问作者user1886318