Im Werkzeugset für die Programmiersprache Go wurde die Möglichkeit implementiert, Schwachstellen in Bibliotheken zu verfolgen. Um Ihre Projekte auf unzureichend gefixte Schwachstellen in Abhängigkeiten zu überprüfen, wird das Tool „govulncheck“ angeboten, das den Code Ihres Projekts analysiert und einen Bericht über die Verwendung von anfälligen Funktionen erstellt. Zusätzlich wurde das Paket vulncheck vorbereitet, das eine API zur Integration der Überprüfung in verschiedene Projekte und Tools bereitstellt.
Die Überprüfung erfolgt über eine speziell erstellte Schwachstellendatenbank, die von der Go Security Team verwaltet wird. In der Datenbank werden Informationen zu bekannten Schwachstellen in öffentlich verteilten Modulen in Go gespeichert. Die Daten werden aus verschiedenen Quellen gesammelt, einschließlich Berichten von CVE und GHSA (GitHub Advisory Database), sowie basierend auf Informationen, die von Paketpflegern bereitgestellt werden. Für den Abruf von Daten aus der Datenbank wird eine Bibliothek, ein Web-API und eine Web-Oberfläche angeboten.
Quelle: opennet.ru
