El kit de herramientas del lenguaje de programación Go incluye la capacidad de rastrear vulnerabilidades en bibliotecas. Para comprobar en sus proyectos la presencia de módulos con vulnerabilidades no corregidas en sus dependencias, se propone la utilidad "govulncheck", que analiza la base del código del proyecto y muestra un informe sobre el acceso a funciones vulnerables. Además, se preparó el paquete vulncheck, que proporciona una API para incorporar comprobaciones en varios proyectos y utilidades.
La verificación se lleva a cabo utilizando una base de datos de vulnerabilidades especialmente creada y supervisada por el equipo de seguridad de Go. La base de datos contiene información sobre vulnerabilidades conocidas en módulos distribuidos públicamente en el lenguaje Go. Los datos se recopilan de varias fuentes, incluidos informes CVE y GHSA (GitHub Advisory Database), así como información enviada por los mantenedores de paquetes. Para solicitar datos de la base de datos, se ofrece una biblioteca, API web e interfaz web.
Fuente: opennet.ru