Im Toolset für die Programmiersprache Go wurde die Möglichkeit zur Überprüfung von Projekten auf Abhängigkeiten von Modulen mit unveröffentlichten Schwachstellen implementiert. Dafür wurde das Tool „govulncheck“ vorgeschlagen, welches den Code der Projekte analysiert und einen Bericht über den Zugriff auf anfällige Funktionen erstellt. Zusätzlich wurde das Paket vulncheck vorbereitet, das eine API für die Integration von Prüfungen in verschiedene Projekte und Tools bereitstellt.
Die Überprüfung erfolgt anhand einer speziell erstellten Schwachdatenbank, die vom Go Security Team überwacht wird. In der Datenbank sind Informationen über bekannte Schwachstellen in öffentlich verfügbaren Modulen der Programmiersprache Go enthalten. Die Daten werden aus verschiedenen Quellen gesammelt, einschließlich Berichten von CVE und GHSA (GitHub Advisory Database), sowie auf Basis von Informationen, die von den Betreuern der Pakete bereitgestellt werden. Für den Zugriff auf die Daten aus der Datenbank wird eine Bibliothek, eine Web-API und ein Web-Interface angeboten.
Quelle: opennet.ru
