Google публикува OSV-Scanner, скенер за уязвимости, който взема предвид зависимостите

Компанията Google представи инструмента OSV-Scanner за проверка на наличието на неизправени уязвимости в кодове и приложения, работещ с целия набор от свързани с кода зависимости. OSV-Scanner позволява откритие на ситуации, когато приложението става уязвимо заради проблеми в една от библиотеките, използвани като зависимости. При това уязвимата библиотека може да се използва косвено, т.е. да се вика чрез друга зависимост. Кодът на проекта е написан на Go и се разпространява под лиценза Apache 2.0.

OSV-Scanner може автоматично рекурсивно да сканира дървото на директориите, определяйки проекти и приложения по наличието на git директории (информацията за уязвимостите се определя чрез анализ на хешовете на комитите), SBOM файлове (Software Bill Of Material в форматите SPDX и CycloneDX), манифести или lock файлове на пакетните мениджъри, като Yarn, NPM, GEM, PIP и Cargo. Поддържа се и сканиране на съдържанието на образи на docker контейнери, съставени на базата на пакети от репозитории Debian.

Информацията за уязвимостите произхожда от базата данни OSV (Open Source Vulnerabilities), която обхваща сведения за проблеми с сигурността в репозиториите Crates.io (Rust), Go, Maven, NPM (JavaScript), NuGet (C#), Packagist (PHP), PyPI (Python), RubyGems, Android, Debian и Alpine, както и данни за уязвимости в ядрото на Linux и сведения от отчети за уязвимости в проекти, разположени на GitHub. В базата OSV е отразен статусът на отстраняването на проблема, указани са комитите, свързани с появата и отстраняването на уязвимостта, обхватът на засегнатите от уязвимостта версии, линкове към репозитория на проекта с кода и уведомление за проблема. Предоставяният API позволява проследяване на проявлението на уязвимостта на ниво комити и тагове и анализ на подложеността на производни продукти и зависимости.

Източник: opennet.ru