Společnost Google představila nástroj OSV-Scanner pro kontrolu přítomnosti neopravených zranitelností v kódu a aplikacích, který pracuje s ohledem na celou řetězec souvisejících závislostí kódu. OSV-Scanner umožňuje identifikovat situace, kdy se aplikace stává zranitelnou kvůli problémům v jedné z knihoven používaných jako závislost. Zranitelná knihovna může být také používána nepřímo, tedy vyvolávána prostřednictvím jiné závislosti. Kód projektu je napsán v jazyce Go a je distribuován pod licencí Apache 2.0.
OSV-Scanner může automaticky rekurzivně skenovat strom adresářů, určuje projekty a aplikace podle přítomnosti git adresářů (informace o zranitelnostech jsou určeny analýzou hashů commitů), SBOM souborů (Software Bill Of Materials ve formátech SPDX a CycloneDX), manifestů nebo lock souborů správce paketů, jako jsou Yarn, NPM, GEM, PIP a Cargo. Také podporuje skenování obsahu obrazů docker kontejnerů, sestavených na základě balíčků z repozitářů Debian.
Informace o zranitelnostech se získávají z databáze OSV (Open Source Vulnerabilities), která pokrývá údaje o bezpečnostních problémech v repozitářích Crates.io (Rust), Go, Maven, NPM (JavaScript), NuGet (C#), Packagist (PHP), PyPI (Python), RubyGems, Android, Debian a Alpine, jakož i údaje o zranitelnostech v jádře Linux a informace z zpráv o zranitelnostech v projektech hostovaných na GitHub. V databázi OSV jsou uvedeny status opravy problému, uvedeny commity s výskytem a opravou zranitelnosti, rozsah zranitelných verzí, odkazy na repozitář projektu s kódem a upozornění na problém. Poskytované API umožňuje na úrovni commitů a tagů sledovat výskyt zranitelnosti a analyzovat náchylnost odvozených produktů a závislostí.
Zdroj: opennet.ru
