Google публикува OSV-Scanner, скенер за уязвимости, който отчита зависимостите

Компанията Google представи инструмента OSV-Scanner за проверка на наличието на неремонтирани уязвимости в кода и приложенията, който работи с оглед на цялата верига от свързани с кода зависимости. OSV-Scanner позволява откриването на ситуации, при които приложението става уязвимо заради проблеми в една от библиотеките, използвани като зависимости. Уязвимата библиотека може да се използва и непряко, тоест да бъде извиквана чрез друга зависимост. Кодът на проекта е написан на езика Go и се разпространява под лицензия Apache 2.0.

OSV-Scanner може автоматично рекурсивно да сканира дървото на директории, определяйки проекти и приложения по наличието на git директории (информацията за уязвимостите се определя при анализ на хешовете на комитите), SBOM файлове (Software Bill Of Material в форматите SPDX и CycloneDX), манифести или lock файлове на пакетни мениджъри като Yarn, NPM, GEM, PIP и Cargo. Също така се поддържа сканирането на съдържанието на Docker контейнери, изградени на основата на пакети от репозитории Debian.

Информацията за уязвимостите идва от базата данни OSV (Open Source Vulnerabilities), обхващаща сведения за проблеми със сигурността в репозитории Crates.io (Rust), Go, Maven, NPM (JavaScript), NuGet (C#), Packagist (PHP), PyPI (Python), RubyGems, Android, Debian и Alpine, както и данни за уязвимости в ядрото на Linux и сведения от отчети за уязвимости в проекти, хоствани на GitHub. В базата OSV е отразен статусът на поправката на проблема, посочени са комитите с появата и поправката на уязвимостта, диапазонът на засегнатите версии, връзки към репозитория на проекта с кода и уведомление за проблема. Предоставеният API позволява на ниво комити и тагове да се проследи проявата на уязвимостта и да се анализира подвержността на производни продукти и зависимости.

Източник: opennet.ru