Google har præsenteret OSV-Scanner værktøjet til at kontrollere for uoprettede sårbarheder i kode og applikationer, der fungerer med hensyn til hele kæden af afhængigheder relateret til koden. OSV-Scanner gør det muligt at identificere situationer, hvor en applikation bliver sårbar på grund af problemer i et af de biblioteker, der bruges som afhængighed. Den sårbare biblioteks kan også anvendes indirekte, dvs. blive kaldt gennem en anden afhængighed. Projektets kode er skrevet i Go-sprog og distribueres under Apache 2.0 licensen.
OSV-Scanner kan automatisk rekursivt scanne katalogtræet, bestemme projekter og applikationer ud fra tilstedeværelsen af git-kataloger (information om sårbarheder bestemmes ved at analysere hash-værdierne af commits), SBOM-filer (Software Bill Of Material i SPDX- og CycloneDX-formater), manifest- eller lock-filer fra pakkestyringssystemer som Yarn, NPM, GEM, PIP og Cargo. Der understøttes også scanning af indholdet af docker-containere, der er bygget på basis af pakker fra Debian-repositorier.
Information om sårbarheder hentes fra OSV-databasen (Open Source Vulnerabilities), som dækker oplysninger om sikkerhedsproblemer i repositories fra Crates.io (Rust), Go, Maven, NPM (JavaScript), NuGet (C#), Packagist (PHP), PyPI (Python), RubyGems, Android, Debian og Alpine, samt data om sårbarheder i Linux-kernen og oplysninger fra sårbarhedsrapporter i projekter, der er værts på GitHub. Databasen OSV viser status for rettelse af problemet, angiver commits med opståen og rettelse af sårbarheden, rækkevidden af sårbare versioner, links til projektets repository med kode samt meddelelser om problemet. Det leverede API muliggør at spore forekomsten af sårbarheden på niveauet af commits og tags og analysere sårbarheden i afledte produkter og afhængigheder.
Kilde: opennet.ru
