脆弱性を持つ非常に多くのドッカー画像があるのはなぜですか？

Question

私はhub.docker.comのドッカーハブを探索するのに少し時間を費やしていました。私は自分のプロジェクトで使用したかった公式画像の脆弱性の数に驚いていました。 （2017年2月27日）

• nginxの今として

  ：https://hub.docker.com/r/library/nginx/tags/ - ない画像 脆弱性

• Ubuntuのなし：https://hub.docker.com/r/library/ubuntu/tags/ - ない画像 脆弱性無し
• のMySQL：https://hub.docker.com/r/library/mysql/tags/ - ない画像なし 脆弱性なし
• Redis：https://hub.docker.com/r/library/redis/tags/ - 同じ
• 件のPostgres：https://hub.docker.com/r/library/postgres/tags/ - Javaの
• 同じ： - 同じ
• のNode.js https://hub.docker.com/r/library/java/tags/：https://hub.docker.com/r/library/node/tags/ - 既知の脆弱性のない唯一の6枚（私はそれらを見つけるラッキーだと思う）

だから、私の質問は次のようになります。

1）このような莫大な量の脆弱な画像の理由は何ですか？

2）このような脆弱な画像（Docker Security Scanningによる）を安全に使用するか、正式な修正を待つのが良いかを決めるにはどうすればよいですか？

重要なアップデート：実際に「この画像には脆弱性があります」というメッセージが表示されるようにDocker Hubにログインする必要があるようです。ここでnginxのレポのためのスクリーンショットです：

Answer 1

https://docs.docker.com/docker-cloud/builds/image-scan/

によれば、スキャンは共通脆弱性（CVE®）データベース

に対する各成分のSHAとを比較しますこれは、脆弱性が画像そのものではなく、コンポーネント（例えば、OpenJDKの既知の脆弱性）にある可能性があることを意味します。コンポーネントのバージョンが古く、まだ更新されていないか、または脆弱性が知られているが、最新バージョンでまだ修正されていない可能性があります。

ただし、脆弱性のある機能は使用しない可能性があります。恐らく、最も良いアイデアは、使用しているコンポーネントの既知の脆弱性をチェックし、パッチが適用されていない脆弱性を持つ機能を使用していないことを確認することです。