Goの脆弱性スキャン`govulncheck`完全ガイド｜セキュリティアラートでサプライチェーンを守る

Goセキュリティgovulncheck脆弱性サプライチェーンCI/CDDependabot

2025-07-10

202507-10

Goの脆弱性管理エコシステムの図：vuln.go.devデータベースとgovulncheckツールの連携を示す

Goの脆弱性スキャン`govulncheck`完全ガイド｜セキュリティアラートでサプライチェーンを守る

Q: govulncheckはどのくらいの頻度で実行すべきですか？

開発時はプルリクエスト作成時（CI/CDで自動実行）、定期実行は月1回の依存関係更新時、緊急時は重大な脆弱性が公開された際に実行することを推奨します。

Q: Call stacksが表示されない脆弱性は無視して良いですか？

完全に無視するのではなく、緊急度は低いが可能な範囲でアップデートを検討し、将来的にコードが変更され脆弱な関数を呼び出す可能性を考慮してセキュリティポリシーに応じて判断することを推奨します。

はじめに：あなたのプロジェクトは、依存関係の「穴」から沈むかもしれない

Log4Shellの脆弱性が世界を震撼させたように、現代のソフトウェアは自らが書いたコードよりも、依存するオープンソースライブラリの脆弱性によって危険に晒されています。あなたのプロジェクトは、この「サプライチェーンリスク」に備えられていますか？

この課題に対し、Goチームが公式に提供する強力なソリューションが、脆弱性データベースとgovulncheckツールです。この記事では、これらの仕組みを実践的に解説します！

Goの脆弱性管理エコシステムとは？

Go脆弱性データベース（`vuln.go.dev`）

Goのセキュリティチームによって維持される、Goの公開モジュールに関する脆弱性情報が集約された、信頼できる唯一の情報源です。

`govulncheck`コマンド

上記データベースと連携し、あなたのプロジェクトを解析する公式ツールです。最大の特徴は、静的解析によりあなたのコードが脆弱性のある関数を「実際に呼び出しているか？」までを分析してくれることです。これにより無関係な脆弱性アラートに悩まされることがなく、本当に対応が必要な問題だけに集中できます。

実践①：`govulncheck`でプロジェクトをスキャンする

ステップ1：インストール

まず、govulncheckをインストールします。Go 1.18以降が必要です。

bash
1go install golang.org/x/vuln/cmd/govulncheck@latest

ステップ2：実行

プロジェクトのルートディレクトリで、以下のコマンドを実行するだけです。

bash
1govulncheck ./...

このコマンドは、現在のディレクトリとそのサブディレクトリ内のすべてのGoパッケージを再帰的にスキャンします。

ステップ3：結果の解釈

脆弱性が見つからなかった場合

No vulnerabilities found.

この安心できるメッセージが表示されます。

脆弱性が見つかった場合

出力は以下のような形式で表示されます：

Vulnerability #1: GO-2023-1234
    A vulnerability in example.com/vulnerable-package
    More info: https://pkg.go.dev/vuln/GO-2023-1234
    Module: example.com/vulnerable-package
    Found in: example.com/[email protected]
    Fixed in: example.com/[email protected]
    Platforms: linux/amd64, darwin/amd64

    Call stacks in your code:
      main.go:15:20: main.main calls vulnerable-package.VulnerableFunction

重要な判定基準：

Call stacks in your codeが表示される場合： あなたのコードが脆弱性のある関数を直接的または間接的に呼び出していることを示します。最優先で対応が必要です。
Call stacksが表示されない場合： 依存関係には含まれているが、あなたのコードは脆弱性のある関数を呼び出していないことを示します。緊急度は低いですが、go get -uでのアップデートを検討しましょう。

この精密な分析により、本当に対応が必要な脆弱性と、影響のない脆弱性を明確に区別できます。

実践②：CI/CDへの統合とアラート購読

脆弱性チェックを、個人の手作業からチームの「仕組み」へと昇華させましょう。

GitHub Actionsでの自動スキャン

プルリクエストがマージされる前に、脆弱性を自動でチェックする仕組みを構築します。

yaml
1# .github/workflows/security.yml
2name: Security Check
3on: [push, pull_request]
4
5jobs:
6  govuln:
7    runs-on: ubuntu-latest
8    permissions:
9      security-events: write
10    steps:
11      - uses: actions/checkout@v4
12      - uses: actions/setup-go@v5
13        with: { go-version: '1.22' }
14
15      - name: Run govulncheck (JSON)
16        run: |
17          govulncheck -json ./... > govuln.json
18      # govulncheck がエラー終了しても後続ステップを実行
19      - name: Convert JSON → SARIF
20        if: always()
21        run: |
22          go install github.com/jmatsu/govulncheck-sarif/cmd/govulncheck-sarif@latest
23          govulncheck-sarif -in govuln.json -out govuln.sarif
24      - name: Upload SARIF
25        if: always()
26        uses: github/codeql-action/upload-sarif@v3
27        with: { sarif_file: govuln.sarif }

実質的な「アラート購読」の方法

GitHubリポジトリでDependabot security updatesを有効にすることが、最も手軽で効果的な「アラート購読」です。Dependabotがgo.modを監視し、依存関係に脆弱性が見つかった場合、自動でセキュリティアップデートのプルリクエストを作成してくれます。

pkg.go.devでの確認

公開モジュールであれば、pkg.go.devのページ上で、既知の脆弱性の有無がバッジとして表示されます。依存関係を追加する前に、このページで脆弱性の状況を確認する習慣をつけることも重要です。

定期的な手動チェック

月次や四半期ごとに、以下のコマンドで依存関係全体をチェックする運用も効果的です：

bash
1# 依存関係の更新確認
2go list -u -m all
3
4# 脆弱性チェック
5govulncheck ./...
6
7# 依存関係の更新（必要に応じて）
8go get -u ./...

高速化・運用Tips

govulncheckの高速化

大規模モノレポでは API 呼び出し数やネットワーク待ち時間がボトルネックになります。

オフライン DB の取得方法（公式推奨）

Go チームの公開リポジトリを clone してローカル DB として利用できます。

bash
1# 方法1: Git clone（従来の方法）
2git clone https://go.googlesource.com/vulndb
3govulncheck -db=file://$(pwd)/vulndb ./...
4
5# 方法2: Go 1.22以降の公式コマンド
6go vuln db -o ./vulndb
7govulncheck -db=file://$(pwd)/vulndb ./...

Go 1.22以降では、go vuln dbコマンドを使用してより簡単にローカル脆弱性データベースを取得できます。

CI 内でキャッシュディレクトリを保存しておくことで、後続ジョブも同じ DB を利用でき、ジョブ時間を 30〜40% 削減できます。

ローカルDB自動更新とキャッシュの活用

定期的にローカル脆弱性データベースを更新し、キャッシュを活用することで、CI/CDの実行時間をさらに短縮できます。

yaml
1# .github/workflows/refresh-vulndb.yml
2name: Refresh Go Vulnerability DB
3on:
4  schedule:
5    - cron: '0 3 * * 1'  # 毎週月曜 03:00
6jobs:
7  update-db:
8    runs-on: ubuntu-latest
9    steps:
10      - name: Cache vulndb
11        uses: actions/cache@v4
12        with:
13          path: ./vulndb
14          key: ${{ runner.os }}-vulndb-${{ github.run_id }}
15          restore-keys: |
16            ${{ runner.os }}-vulndb-
17      - name: Download latest DB
18        run: |
19          go install golang.org/x/vuln/cmd/govulncheck@latest
20          go vuln db -o ./vulndb

このワークフローにより脆弱性データベースが定期的に更新され、他のワークフローでキャッシュされたデータベースを利用できるようになります。

JSON出力の活用

bash
1# JSON形式で詳細な結果を取得
2govulncheck -json ./... > vulnerability-report.json
3
4# 特定の脆弱性IDのみをフィルタリング
5govulncheck -json ./... | jq '.[] | select(.vulnerability.id == "GO-2023-1234")'

誤検知対応フロー

Call stacksの有無を確認 - 実際に呼び出されているかを判定
影響範囲の評価 - 本番環境での実行パスを確認
修正版の確認 - Fixed in バージョンが利用可能かチェック
段階的アップデート - テスト環境での動作確認後に本番適用

まとめ：プロのGoエンジニアとして、サプライチェーンを守る

govulncheckを定期的に実行し、CI/CDに組み込み、Dependabotを有効にすること。この3つがGoプロジェクトをサプライチェーンリスクから守るための、現代的なベストプラクティスです。

特に重要なのは、これらのツールを「仕組み」として組み込むことです。個人の記憶や習慣に依存するのではなく、自動化された継続的なセキュリティチェックにより、チーム全体でセキュリティ品質を担保できます。

自身のコードだけでなく、その土台となる依存関係のセキュリティにまで責任を持つことこそ、クライアントから信頼されるプロフェッショナルなエンジニアの姿勢です。

このようなセキュリティ意識の高いエンジニアは、FinTechや大規模Webサービスなど、セキュリティが最重要視される高単価プロジェクトで特に重宝されます。私たちGoForceでも、Goのコーディングスキルに加えて、モダンなセキュリティツールを使いこなす能力を持つエンジニアを高く評価しています。もしこうした「守る力」を活かせるプロジェクトにご興味がございましたら、お気軽にご相談ください。

よくある質問（FAQ）

Q: govulncheckはどのくらいの頻度で実行すべきですか？

A: 以下の頻度を推奨します：

開発時: プルリクエスト作成時（CI/CDで自動実行）
定期実行: 月1回の依存関係更新時
緊急時: 重大な脆弱性が公開された際

Q: Call stacksが表示されない脆弱性は無視して良いですか？

A: 完全に無視するのではなく、以下の対応を推奨します：

緊急度は低いが、可能な範囲でアップデートを検討
将来的にコードが変更され、脆弱な関数を呼び出す可能性を考慮
セキュリティポリシーに応じて判断

Q: プライベートモジュールの脆弱性はチェックできますか？

A: govulncheckは公開されている脆弱性データベースを参照するため、プライベートモジュール固有の脆弱性は検出できません。プライベートモジュールについては：

独自のセキュリティレビュープロセスを構築
静的解析ツールの併用を検討
依存関係の最小化を心がける

Q: CI/CDでgovulncheckが失敗した場合の対処法は？

A: 以下の手順で対処してください：

Call stacksの確認: 実際に影響があるかを判定
修正版の確認: アップデート可能なバージョンがあるかチェック
一時的な対処: 緊急リリースが必要な場合は、影響範囲を限定して対応
根本対応: 修正版への更新とテストの実施

参考文献

Go Vulnerability Database - Go公式脆弱性データベース
govulncheck documentation - govulncheckの公式ドキュメント
GitHub Dependabot - Dependabotの設定ガイド
OSV (Open Source Vulnerabilities) - オープンソース脆弱性データベース
CVE (Common Vulnerabilities and Exposures) - 共通脆弱性識別子データベース
NIST National Vulnerability Database - 米国国立標準技術研究所の脆弱性データベース
JPCERT/CC 脆弱性対策情報 - 日本の脆弱性対策情報
GitHub Security Advisories - GitHubセキュリティアドバイザリ

会員登録はこちら

最適なGo案件を今すぐチェック！

目次

Goの脆弱性スキャン`govulncheck`完全ガイド｜セキュリティアラートでサプライチェーンを守る

はじめに：あなたのプロジェクトは、依存関係の「穴」から沈むかもしれない

Goの脆弱性管理エコシステムとは？

Go脆弱性データベース（`vuln.go.dev`）

`govulncheck`コマンド

実践①：`govulncheck`でプロジェクトをスキャンする

ステップ1：インストール

ステップ2：実行

ステップ3：結果の解釈

脆弱性が見つからなかった場合

脆弱性が見つかった場合

実践②：CI/CDへの統合とアラート購読

GitHub Actionsでの自動スキャン

実質的な「アラート購読」の方法

pkg.go.devでの確認

定期的な手動チェック

高速化・運用Tips

govulncheckの高速化

オフライン DB の取得方法（公式推奨）

ローカルDB自動更新とキャッシュの活用

JSON出力の活用

誤検知対応フロー

まとめ：プロのGoエンジニアとして、サプライチェーンを守る

よくある質問（FAQ）

参考文献

目次

会員登録はこちら

会員登録

Goの脆弱性スキャンgovulncheck完全ガイド｜セキュリティアラートでサプライチェーンを守る

はじめに：あなたのプロジェクトは、依存関係の「穴」から沈むかもしれない

Goの脆弱性管理エコシステムとは？

Go脆弱性データベース（vuln.go.dev）

govulncheckコマンド

実践①：govulncheckでプロジェクトをスキャンする

ステップ1：インストール

ステップ2：実行

ステップ3：結果の解釈

脆弱性が見つからなかった場合

脆弱性が見つかった場合

実践②：CI/CDへの統合とアラート購読

GitHub Actionsでの自動スキャン

実質的な「アラート購読」の方法

pkg.go.devでの確認

定期的な手動チェック

高速化・運用Tips

govulncheckの高速化

オフライン DB の取得方法（公式推奨）

ローカルDB自動更新とキャッシュの活用

JSON出力の活用

誤検知対応フロー

まとめ：プロのGoエンジニアとして、サプライチェーンを守る

よくある質問（FAQ）

参考文献

目次

会員登録はこちら

会員登録

Goの脆弱性スキャン`govulncheck`完全ガイド｜セキュリティアラートでサプライチェーンを守る

Go脆弱性データベース（`vuln.go.dev`）

`govulncheck`コマンド

実践①：`govulncheck`でプロジェクトをスキャンする