본 가이드는 Xray에서 여러 CVE를 하나의 Ignore Rule로 등록하고, 적용 범위를 패키지·버전·Watch로 제한하는 방법을 설명합니다.

Ignore Rule은 취약점을 수정하는 기능이 아니라 정책 위반을 예외 처리하는 기능입니다. 영향 여부를 검토하여 예외 처리하기로 결정한 CVE만 등록합니다.

Postman 요청 설정

예외 처리할 위반이 발생한 Watch를 관리하는 Xray에 요청합니다.

항목설정값
MethodPOST
URLhttps://<JFrog 주소>/xray/api/v1/ignore_rules
AuthorizationBearer Token 선택 후 Access Token 입력
HeaderContent-Type: application/json
Bodyraw → JSON 선택
필요 권한Manage Watches


요청 본문 작성

다음은 ONNX 1.23.2의 여러 CVE를 특정 Watch에서 예외 처리하는 예시입니다. 등록 전 대상 CVE, 패키지 버전, Watch 및 만료 시각을 실제 환경에 맞게 변경합니다.

{
  "notes": "ONNX 내장 SBOM 버전 미기재 관련 취약점 임시 예외",
  "expires_at": "2026-11-14T14:59:59Z",
  "ignore_filters": {
    "cves": [
      "CVE-2026-28500",
      "CVE-2024-7776",
      "CVE-2024-27319",
      "CVE-2026-49114",
      "CVE-2026-34445",
      "CVE-2026-27489",
      "CVE-2024-5187",
      "CVE-2024-27318",
      "CVE-2022-25882",
      "CVE-2026-34446",
      "CVE-2026-34447",
      "CVE-2026-115922",
      "CVE-2026-115919"
    ],
    "artifacts": [
      {
        "name": "pypi://onnx",
        "version": "1.23.2"
      }
    ],
    "watches": [
      "POSCO_XRAY_VALIDATION_WATCH"
    ]
  }
}



항목설명 및 변경 기준
notes예외 처리 사유와 관련 이슈 번호 입력
expires_at예외 만료 시각. 등록 시점 이후의 RFC 3339 형식으로 지정
cves영향 여부를 검토하여 예외 처리하기로 결정한 CVE 목록
artifacts.name대상 패키지 이름. 예: pypi://onnx
artifacts.version예외를 적용할 실제 패키지 버전
watches해당 위반이 발생한 실제 Watch 이름

예시의 만료 시각은 2026년 11월 14일 23:59:59 KST입니다. 예시 값이므로 요청 실행 시점 이후의 날짜로 변경 필수

artifacts 조건은 패키지와 버전을 제한합니다. 특정 Wheel 파일 하나나 내장 SBOM의 onnx:N/A 구성요소만을 지정하는 조건은 아닙니다.


등록 및 적용 확인

  1. Postman에서 Send를 클릭합니다.

  2. 성공 응답에 포함된 Ignore Rule ID를 기록합니다.

  3. Xray의 Ignore Rules 화면에서 CVE·Artifact·Watch·만료 시각이 의도대로 저장되었는지 확인합니다.

  4. 기존 검사 결과에 적용하려면 해당 Watch에서 Apply on Existing Content를 실행합니다.

  5. 지정한 위반만 무시되고, 예외 대상이 아닌 위반은 유지되는지 확인합니다.


규칙은 생성 이후 신규 검사에도 영향을 주므로, 등록 전에 적용 범위를 확인해야 합니다.


  • 레이블 없음