Grype¶
🤖 Rédaction assistée par IA.
Grype est un scanner de vulnérabilités open source (Anchore) capable d'analyser une image de conteneur, un dossier ou un SBOM généré par Syft pour y détecter des dépendances vulnérables (alternative à Trivy).
Installation¶
- anchore/grype - releases
- grype/install.sh procède au téléchargement et à l'installation du .deb :
curl -sS https://mborne.github.io/outils/grype/install.sh | bash
Utilisation¶
Pour afficher l'aide :
grype --help
Pour scanner une image en se limitant aux vulnérabilités pour lesquelles un correctif est disponible :
grype php:7.4 --only-fixed
Pour faire échouer une CI/CD en présence de vulnérabilités de sévérité élevée ou critique :
grype php:7.4 --fail-on high
Pour analyser un SBOM produit par Syft (sans retélécharger l'image) :
syft python:3.12-slim -o cyclonedx-json=sbom.cdx.json
grype sbom:sbom.cdx.json
Pour produire un rapport exploitable par d'autres outils :
# JSON
grype php:7.4 -o json > grype-report.json
# SARIF (ex : GitHub code scanning)
grype php:7.4 -o sarif > grype-report.sarif
Pour mettre à jour la base de vulnérabilités (téléchargée automatiquement au premier lancement) :
grype db update
grype db status