Anmelden
RHEL CVE Monitor für arme Admins
User Story: Als RHEL-Systemadministrator:in möchte ich für einige ausgewählte Kompontenten, wie z.B. kernel, openssl oder samba, über neue CVE für diese Komponenten informiert werden. Leider steht mir dazu keine Schwachstellenmanagementlösung zur Verfügung. Einen Red Hat Satellite Server habe ich nicht und den Vulnerability Service in der Hybrid Cloud Console kann bzw. darf ich nicht nutzen.
Transparenzhinweis: Ich arbeite als TAM für Red Hat. Die im Folgenden vorgestellte Anwendung habe ich als Open-Source-Projekt unter MIT-Lizenz veröffentlicht. Es steht in keiner offiziellen Verbindung zu Red Hat.
RHEL CVE Monitor ist ein Python-Tool, das die Red Hat Security Data API regelmäßig abfragt und neue Sicherheitslücken (CVEs) für eine konfigurierbare Liste von RHEL-Paketen meldet.
Die zu überwachenden Pakete werden in packages.txt festgelegt (z. B. kernel, openssl, samba, rear). Beim ersten Lauf werden CVEs der letzten 30 Tage ausgegeben; danach zeigt das Tool nur noch neue Einträge seit dem letzten erfolgreichen Durchlauf. Bereits gemeldete CVEs werden in einer lokalen Zustandsdatei (.cve_monitor_state.json) gespeichert, damit nichts doppelt erscheint.
Die Ausgabe kann als Text, JSON oder CSV erfolgen und eignet sich für manuelle Prüfungen, Cron-Jobs oder systemd-Timer. Mit --exit-code lässt sich das Tool auch in CI/CD-Pipelines einbinden, die bei neuen CVEs alarmieren sollen.
Wie benutzt man das?
Der folgende Code-Block zeigt die CVE im RHEL-kernel der letzten 5 Tage:
[host.example.com rhel_cve_monitor]$ python3 rhel_cve_monitor.py --initial-days 4
=== kernel (1 new CVE) ===
CVE-2026-80725 important 2026-08-29 https://access.redhat.com/security/cve/CVE-2026-80725
Total: 1 new CVE across 1 packageDie Ausgabe ist bewusst spartanisch gehalten. Man erhält lediglich die CVE-Nummer, die Severity, das Erscheinungsdatum und die URL zur Red Hat CVE Datenbank, wo man weitere Informationen zur Schwachstelle findet.
Verfügbare CLI-Optionen findet man in der Hilfe:
[host.example.com rhel_cve_monitor]$ python3 rhel_cve_monitor.py --help
usage: rhel_cve_monitor.py [-h] [--packages PACKAGES]
[--state-file STATE_FILE]
[--initial-days INITIAL_DAYS] [--output OUTPUT]
[--exit-code] [--verbose] [--dry-run]
[--format {text,json,csv}]
[--reset-packages PACKAGE [PACKAGE ...]]
[--reset-after YYYY-MM-DD]
Monitor Red Hat Security Data API for new CVEs affecting given RHEL packages.
options:
-h, --help show this help message and exit
--packages PACKAGES Path to file with one package name per line (default:
packages.txt)
--state-file STATE_FILE
Path to state file tracking last run time (default:
.cve_monitor_state.json)
--initial-days INITIAL_DAYS
On first run (no state file), look back this many days
(default: 30)
--output OUTPUT Optional file path to write the report to (in addition
to stdout)
--exit-code Exit with code 2 when new CVEs are found (useful for
CI/automation)
--verbose, -v Enable verbose logging
--dry-run Preview what would be queried without hitting the API
--format {text,json,csv}
Output format: text (default), json, or csv
--reset-packages PACKAGE [PACKAGE ...]
Clear seen-CVE state for these packages (use 'all' for
every package) and exit
--reset-after YYYY-MM-DD
When resetting, also set last_run to this date so next
run queries from hereMehr kann die kleine Anwendung nicht.
Und wo gibt es das?
Unter der URL: https://github.com/Tronde/rhel_cve_monitor
Das englischsprachige README enthält weitere Beispiele und Hinweise zur Nutzung.
Falls ihr diese kleine Anwendung nützlich findet, freue ich mich, wenn ihr mir hier im Blog einen Kommentar hinterlasst und eure Erfahrung weiterverbreitet. Wenn ihr Fehler findet oder Verbesserungsvorschläge habt, meldet diese bitte im GitHub-Issue-Tracker des Projekts.
