> emerge -uDN --with-bdeps=y

bdeps на CVE не влияют, зачем их-то пересобирать каждый раз?

> glsa-check -e affected

тут ты начинаешь зависеть не только от аккуратности и скорости работы авторов софта (которые могут замазать дырку не заметив ее существования, в том числе), но и от аккуратности работы авторов glsa.

я бы оставил ее себе в качестве напоминалки, но и только.

Живя на, по сути, rolling дистрибутиве, нет смысла с этим всерьез бороться, лучше этим пользоваться. (в конце-концов, масса сил и времени разработчиков как раз вгроханы в то, что оно в общем и целом практически всегда умудряется пересобраться в рабочем состоянии)
Фиксируешь те несколько пакетов, ради которых он у тебя установлен, остальное обновляешь раз в неделю или когда у тебя там сервисное окошко, ну и отдельно по cve-праздникам.

(мну матерится, обнаружив что у него недостаточно продвинутый cmake для сборки современного encfs. Без тестов и с парой грязных хаков оно,конечно, собираетсо, но осадочек...)