CVE로 회수된 릴리스로의 업그레이드
Apollo는 기본적으로 회수된 릴리스로 업그레이드하지 않습니다. 그러나 현재 버전에도 취약점이 있고 사용 가능한 중간 버전들이 모두 CVE로 회수되어 있으면, 이 제한 때문에 보안 위험을 낮추거나 최종 수정본까지 단계적으로 업그레이드하기 어려울 수 있습니다.
별도 설정을 활성화하면 보안 위험이 낮아지거나 유지되는 CVE 회수 릴리스를 업그레이드 대상으로 검토할 수 있습니다. 회수되지 않은 적합한 후보가 있으면 그 후보를 우선하며, 그런 대상이 없을 때만 이 예외를 사용합니다.
활성화와 환경별 재정의
Hub Settings → General에서 Enable Upgrades to Releases Recalled for Vulnerabilities를 True로 설정합니다.
개별 환경의 Settings → Settings overrides에서 허브 설정을 재정의할 수 있습니다. 환경의 값이 우선하므로 환경마다 독립적으로 활성화하거나 비활성화할 수 있습니다.
대상 릴리스의 자격 조건
다음 조건을 모두 충족해야 합니다.
| 조건 | 판정 |
|---|---|
| 대상의 회수 사유 | 보안 취약점 회수만 적용되어 있어야 함. 사용자 회수나 다른 비CVE 회수가 하나라도 있으면 제외 |
| 검사 최신성 | 현재 릴리스와 대상 릴리스 모두 허브의 재검사 기한(SLA) 안에 완료된 검사 필요 |
| 위험 점수 | 대상 점수가 현재 점수보다 낮거나 같아야 함 |
| 악성코드 검사 | 대상 릴리스에 ClamAV 악성코드 발견 사항이 없어야 함 |
현재 릴리스에는 비CVE 회수나 ClamAV 발견 사항이 있어도 될 수 있지만, 대상은 위 조건을 충족해야 합니다. 검사가 오래되었거나 없으면 새 검사가 완료될 때까지 업그레이드를 차단합니다. 재검사로 차단을 해소할 수 있는 경우 Apollo가 자동으로 재검사를 요청합니다.
적합한 대상이 없으면 업그레이드를 진행할 수 없는 이유를 계획 제약으로 표시합니다.
위험 점수
릴리스 위험 점수는 0에서 10 사이입니다. 0은 활성 취약점이 없는 상태이고 10은 최댓값입니다. 최근 검사에서 발견한 CVE 가운데 유예기간이 지났고 억제되지 않은 활성 CVE를 계산에 사용합니다.
점수는 다음 두 요소를 함께 반영합니다.
- 가장 심각한 활성 취약점의 CVSS 점수
- 모든 활성 취약점의 수와 CVSS 점수가 누적된 영향
따라서 심각한 취약점 하나가 다른 낮은 점수에 가려지지 않으며, 낮은 심각도의 취약점이 계속 쌓이는 영향도 반영합니다. CVSS 점수가 아직 발표되지 않은 CVE에는 스캐너가 보고한 심각도 등급에 대응하는 대표값을 사용합니다.
정확한 계산식과 조정 상수는 Palantir가 관리하며 사용자가 변경할 수 없습니다.
계획에서 선택 이유 확인
이 예외를 통해 대상을 선택한 계획에는 현재 릴리스와 대상 릴리스의 위험 점수가 메타데이터로 기록됩니다. 계획 상세 화면에서 두 값을 비교하여 왜 해당 대상이 선택되었는지, 위험 점수가 낮아지거나 유지되는지 확인할 수 있습니다.
이 경로로 대상을 선택하지 않은 계획에는 해당 위험 점수 메타데이터가 없습니다. 같은 기능은 내보내기 파이프라인에서도 사용할 수 있습니다.