DevSecOps: કામગીરીના સિદ્ધાંતો અને SCA ની સરખામણી. ભાગ એક

વિકાસ પ્રક્રિયામાં તૃતીય-પક્ષ સૉફ્ટવેર ઘટકો (સોફ્ટવેર કમ્પોઝિશન એનાલિસિસ - SCA) ના વિશ્લેષણનું મહત્વ ઓપન સોર્સ લાઇબ્રેરીઓની નબળાઈઓ પરના વાર્ષિક અહેવાલોના પ્રકાશન સાથે વધી રહ્યું છે, જે Synopsys, Sonatype, Snyk અને White Source દ્વારા પ્રકાશિત થાય છે. . અહેવાલ મુજબ ઓપન સોર્સ સુરક્ષા નબળાઈઓનું રાજ્ય 2020 2019 માં ઓળખાયેલ ઓપન સોર્સ નબળાઈઓની સંખ્યામાં પાછલા વર્ષની સરખામણીમાં લગભગ 1.5 ગણો વધારો થયો છે, જ્યારે ઓપન સોર્સ ઘટકોનો ઉપયોગ 60% થી 80% પ્રોજેક્ટ્સ દ્વારા કરવામાં આવે છે. સ્વતંત્ર ધોરણે, SCA પ્રક્રિયાઓ પરિપક્વતાના સૂચક તરીકે OWASP SAMM અને BSIMM ની અલગ પ્રથા છે, અને 2020 ના પહેલા ભાગમાં, OWASP એ નવું OWASP સૉફ્ટવેર કમ્પોનન્ટ વેરિફિકેશન સ્ટાન્ડર્ડ (SCVS) બહાર પાડ્યું, જે ત્રીજી-ની ચકાસણી માટે શ્રેષ્ઠ પ્રથાઓ પ્રદાન કરે છે. સપ્લાય ચેઇન BY માં પાર્ટીના ઘટકો.

સૌથી દૃષ્ટાંતરૂપ કેસોમાંનો એક થયું મે 2017 માં Equifax સાથે. અજાણ્યા હુમલાખોરોએ 143 મિલિયન અમેરિકનો વિશે માહિતી મેળવી હતી, જેમાં સંપૂર્ણ નામ, સરનામા, સામાજિક સુરક્ષા નંબરો અને ડ્રાઇવિંગ લાયસન્સનો સમાવેશ થાય છે. 209 કેસોમાં, દસ્તાવેજોમાં પીડિતોના બેંક કાર્ડ વિશેની માહિતી પણ સામેલ હતી. Apache Struts 000 (CVE-2-2017) માં ગંભીર નબળાઈના શોષણના પરિણામે આ લીક થયું હતું, જ્યારે ફિક્સ માર્ચ 5638 માં પાછું બહાર પાડવામાં આવ્યું હતું. કંપની પાસે અપડેટ ઇન્સ્ટોલ કરવા માટે બે મહિનાનો સમય હતો, પરંતુ કોઈએ તેની પરેશાન ન કરી.

આ લેખ વિશ્લેષણ પરિણામોની ગુણવત્તાના દૃષ્ટિકોણથી SCA કરવા માટેના સાધનને પસંદ કરવાના મુદ્દાની ચર્ચા કરશે. સાધનોની કાર્યાત્મક સરખામણી પણ પૂરી પાડવામાં આવશે. CI/CD માં સંકલન કરવાની પ્રક્રિયા અને એકીકરણ ક્ષમતાઓને અનુગામી પ્રકાશનો માટે છોડી દેવામાં આવશે. OWASP દ્વારા સાધનોની વિશાળ શ્રેણી રજૂ કરવામાં આવી હતી તમારી વેબસાઇટ પર, પરંતુ વર્તમાન સમીક્ષામાં અમે ફક્ત સૌથી વધુ લોકપ્રિય ઓપન સોર્સ ટૂલ ડિપેન્ડન્સી ચેક, સહેજ ઓછા જાણીતા ઓપન સોર્સ પ્લેટફોર્મ ડિપેન્ડન્સી ટ્રેક અને એન્ટરપ્રાઇઝ સોલ્યુશન Sonatype Nexus IQ પર જ સ્પર્શ કરીશું. અમે એ પણ સમજીશું કે આ ઉકેલો કેવી રીતે કાર્ય કરે છે અને ખોટા હકારાત્મક માટે પ્રાપ્ત પરિણામોની તુલના કરીશું.

તે કેવી રીતે કામ કરે છે

નિર્ભરતા તપાસ એક યુટિલિટી (CLI, maven, jenkins module, ant) ​​છે જે પ્રોજેક્ટ ફાઈલોનું વિશ્લેષણ કરે છે, નિર્ભરતા (પેકેજનું નામ, groupid, સ્પેસિફિકેશન શીર્ષક, સંસ્કરણ...) વિશે માહિતીના ટુકડાઓ એકત્રિત કરે છે, CPE (કોમન પ્લેટફોર્મ એન્યુમરેશન) લાઇન બનાવે છે. , પેકેજ URL ( PURL) અને ડેટાબેસેસ (NVD, Sonatype OSS Index, NPM Audit API...) માંથી CPE/PURL માટેની નબળાઈઓને ઓળખે છે, જે પછી તે HTML, JSON, XML ફોર્મેટમાં વન-ટાઇમ રિપોર્ટ બનાવે છે...

ચાલો જોઈએ કે CPE કેવો દેખાય છે:

cpe:2.3:part:vendor:product:version:update:edition:language:sw_edition:target_sw:target_hw:other

• ભાગ: સંકેત કે ઘટક એપ્લિકેશન (a), ઓપરેટિંગ સિસ્ટમ (o), હાર્ડવેર (h) (જરૂરી) સાથે સંબંધિત છે
• વિક્રેતા: ઉત્પાદન ઉત્પાદકનું નામ (જરૂરી)
• ઉત્પાદન: ઉત્પાદનનું નામ (જરૂરી)
• આવૃત્તિ: ઘટક સંસ્કરણ (પ્રચલિત આઇટમ)
• સુધારાની તારીખ: પેકેજ અપડેટ
• આવૃત્તિ: લેગસી વર્ઝન (નાપસંદ કરેલ આઇટમ)
• ભાષા: RFC-5646 માં વ્યાખ્યાયિત ભાષા
• SW આવૃત્તિ: સૉફ્ટવેર સંસ્કરણ
• લક્ષ્ય SW: સૉફ્ટવેર વાતાવરણ કે જેમાં ઉત્પાદન કાર્ય કરે છે
• લક્ષ્ય HW: હાર્ડવેર પર્યાવરણ કે જેમાં ઉત્પાદન કાર્ય કરે છે
• અન્ય: સપ્લાયર અથવા ઉત્પાદન માહિતી

ઉદાહરણ CPE આના જેવો દેખાય છે:

cpe:2.3:a:pivotal_software:spring_framework:3.0.0:*:*:*:*:*:*:*

લાઇનનો અર્થ એ છે કે CPE સંસ્કરણ 2.3 ઉત્પાદક તરફથી એપ્લિકેશન ઘટકનું વર્ણન કરે છે pivotal_software શીર્ષક સાથે spring_framework સંસ્કરણ 3.0.0. જો આપણે નબળાઈ ખોલીએ CVE-2014-0225 NVD માં, આપણે આ CPE નો ઉલ્લેખ જોઈ શકીએ છીએ. પ્રથમ સમસ્યા કે જેના પર તમારે તાત્કાલિક ધ્યાન આપવું જોઈએ તે એ છે કે NVD માં CVE, CPE અનુસાર, ફ્રેમવર્કમાં સમસ્યાની જાણ કરે છે, અને ચોક્કસ ઘટકમાં નહીં. એટલે કે, જો વિકાસકર્તાઓ ફ્રેમવર્ક સાથે ચુસ્તપણે જોડાયેલા હોય, અને ઓળખાયેલી નબળાઈ તે મોડ્યુલોને અસર કરતી નથી કે જેનો વિકાસકર્તાઓ ઉપયોગ કરે છે, તો સુરક્ષા નિષ્ણાતને એક યા બીજી રીતે આ CVE ને ડિસએસેમ્બલ કરવું પડશે અને અપડેટ કરવા વિશે વિચારવું પડશે.

URL નો ઉપયોગ SCA ટૂલ્સ દ્વારા પણ થાય છે. પેકેજ URL ફોર્મેટ નીચે મુજબ છે:

scheme:type/namespace/name@version?qualifiers#subpath

• યોજના: હંમેશા 'pkg' હશે જે દર્શાવે છે કે આ એક પેકેજ URL છે (જરૂરી)
• પ્રકાર: પેકેજનો "પ્રકાર" અથવા પેકેજનો "પ્રોટોકોલ", જેમ કે મેવેન, એનપીએમ, ન્યુગેટ, જેમ, પીપી, વગેરે. (જરૂરી)
• નેમસ્પેસ: કેટલાક નામ ઉપસર્ગ, જેમ કે Maven જૂથ ID, Docker છબી માલિક, GitHub વપરાશકર્તા અથવા સંસ્થા. વૈકલ્પિક અને પ્રકાર પર આધાર રાખે છે.
• નામ: પેકેજ નામ (જરૂરી)
• આવૃત્તિ: પેકેજ સંસ્કરણ
• ક્વોલિફાયર: પેકેજ માટે વધારાનો લાયકાત ડેટા, જેમ કે OS, આર્કિટેક્ચર, વિતરણ, વગેરે. વૈકલ્પિક અને પ્રકાર-વિશિષ્ટ.
• સબપાથ: પેકેજ રૂટને સંબંધિત પેકેજમાં વધારાનો પાથ

ઉદાહરણ તરીકે:

pkg:golang/google.golang.org/genproto#googleapis/api/annotations
pkg:maven/org.apache.commons/[email protected]
pkg:pypi/[email protected]

નિર્ભરતા ટ્રેક - એક ઓન-પ્રિમાઈસ વેબ પ્લેટફોર્મ કે જે તૈયાર થયેલ બિલ ઓફ મટિરિયલ્સ (BOM) સ્વીકારે છે ચક્રવાત ડીએક્સ и એસપીડીએક્સ, એટલે કે, હાલની અવલંબન વિશે તૈયાર સ્પષ્ટીકરણો. આ એક XML ફાઇલ છે જે નિર્ભરતાઓનું વર્ણન કરે છે - નામ, હેશ, પેકેજ url, પ્રકાશક, લાઇસન્સ. આગળ, ડિપેન્ડન્સી ટ્રૅક BOM ને પાર્સ કરે છે, નબળાઈ ડેટાબેઝ (NVD, Sonatype OSS Index...) માંથી ઓળખાયેલી નિર્ભરતાઓ માટે ઉપલબ્ધ CVE ને જુએ છે, જે પછી તે ગ્રાફ બનાવે છે, મેટ્રિક્સની ગણતરી કરે છે, ઘટકોની નબળાઈ સ્થિતિ પર નિયમિતપણે ડેટા અપડેટ કરે છે. .

XML ફોર્મેટમાં BOM કેવું દેખાય છે તેનું ઉદાહરણ:

<?xml version="1.0" encoding="UTF-8"?>
<bom xmlns="http://cyclonedx.org/schema/bom/1.2" serialNumber="urn:uuid:3e671687-395b-41f5-a30f-a58921a69b79" version="1">
  <components>
    <component type="library">
      <publisher>Apache</publisher>
      <group>org.apache.tomcat</group>
      <name>tomcat-catalina</name>
      <version>9.0.14</version>
      <hashes>
        <hash alg="MD5">3942447fac867ae5cdb3229b658f4d48</hash>
        <hash alg="SHA-1">e6b1000b94e835ffd37f4c6dcbdad43f4b48a02a</hash>
        <hash alg="SHA-256">f498a8ff2dd007e29c2074f5e4b01a9a01775c3ff3aeaf6906ea503bc5791b7b</hash>
        <hash alg="SHA-512">e8f33e424f3f4ed6db76a482fde1a5298970e442c531729119e37991884bdffab4f9426b7ee11fccd074eeda0634d71697d6f88a460dce0ac8d627a29f7d1282</hash>
      </hashes>
      <licenses>
        <license>
          <id>Apache-2.0</id>
        </license>
      </licenses>
      <purl>pkg:maven/org.apache.tomcat/[email protected]</purl>
    </component>
      <!-- More components here -->
  </components>
</bom>

BOM નો ઉપયોગ ડિપેન્ડન્સી ટ્રેક માટેના ઇનપુટ પેરામીટર તરીકે જ નહીં, પરંતુ સપ્લાય ચેઇનમાં સોફ્ટવેર ઘટકોની ઇન્વેન્ટરી કરવા માટે પણ થઈ શકે છે, ઉદાહરણ તરીકે, ગ્રાહકને સોફ્ટવેર પ્રદાન કરવા માટે. 2014 માં, યુનાઇટેડ સ્ટેટ્સમાં પણ એક કાયદો પ્રસ્તાવિત કરવામાં આવ્યો હતો "સાયબર સપ્લાય ચેઇન મેનેજમેન્ટ એન્ડ ટ્રાન્સપરન્સી એક્ટ 2014", જેમાં જણાવ્યું હતું કે સોફ્ટવેર ખરીદતી વખતે, કોઈપણ રાજ્ય. સંવેદનશીલ ઘટકોના ઉપયોગને રોકવા માટે સંસ્થાએ BOM ને વિનંતી કરવી આવશ્યક છે, પરંતુ આ અધિનિયમ હજી અમલમાં આવ્યો નથી.

SCA પર પાછા ફરતા, ડિપેન્ડન્સી ટ્રેકમાં સ્લૅક જેવા નોટિફિકેશન પ્લેટફોર્મ્સ, કેન્ના સિક્યુરિટી જેવી નબળાઈ વ્યવસ્થાપન સિસ્ટમ્સ સાથે તૈયાર એકીકરણ છે. તે કહેવું પણ યોગ્ય છે કે ડિપેન્ડન્સી ટ્રૅક, અન્ય વસ્તુઓની સાથે, પૅકેજના જૂના વર્ઝનને ઓળખે છે અને લાઇસન્સ વિશે માહિતી પ્રદાન કરે છે (SPDX સપોર્ટને કારણે).

જો આપણે SCA ની ગુણવત્તા વિશે ખાસ વાત કરીએ, તો ત્યાં મૂળભૂત તફાવત છે.

નિર્ભરતા ટ્રેક પ્રોજેક્ટને ઇનપુટ તરીકે સ્વીકારતો નથી, પરંતુ BOM તરીકે. આનો અર્થ એ છે કે જો આપણે પ્રોજેક્ટનું પરીક્ષણ કરવા માગીએ છીએ, તો આપણે સૌ પ્રથમ bom.xml જનરેટ કરવાની જરૂર છે, ઉદાહરણ તરીકે CycloneDX નો ઉપયોગ કરીને. આમ, નિર્ભરતા ટ્રેક સીધો CycloneDX પર આધારિત છે. તે જ સમયે, તે કસ્ટમાઇઝેશન માટે પરવાનગી આપે છે. આ OZON ટીમે લખ્યું છે સાયક્લોનડીએક્સ મોડ્યુલ નિર્ભરતા ટ્રેક દ્વારા વધુ સ્કેનિંગ માટે ગોલાંગ પ્રોજેક્ટ્સ માટે BOM ફાઇલો એસેમ્બલ કરવા માટે.

Nexus IQ સોનાટાઇપનું કોમર્શિયલ SCA સોલ્યુશન છે, જે સોનાટાઇપ ઇકોસિસ્ટમનો એક ભાગ છે, જેમાં નેક્સસ રિપોઝીટરી મેનેજર પણ સામેલ છે. જો તમારી સંસ્થા હજુ સુધી CycloneDX થી નવા સોલ્યુશન પર સ્વિચ કરી નથી, તો Nexus IQ વેબ ઈન્ટરફેસ અથવા API અને BOM દ્વારા યુદ્ધ આર્કાઈવ્સ (જાવા પ્રોજેક્ટ્સ માટે) બંને ઇનપુટ તરીકે સ્વીકારી શકે છે. ઓપન સોર્સ સોલ્યુશન્સથી વિપરીત, IQ એ ઓળખાયેલ ઘટક અને ડેટાબેઝમાં સંબંધિત નબળાઈને માત્ર CP/PURL નો જ ઉલ્લેખ કરતું નથી, પરંતુ તેના પોતાના સંશોધનને પણ ધ્યાનમાં લે છે, ઉદાહરણ તરીકે, નબળા કાર્ય અથવા વર્ગનું નામ. પરિણામોના વિશ્લેષણમાં IQ ની પદ્ધતિઓની ચર્ચા પછીથી કરવામાં આવશે.

ચાલો કેટલીક કાર્યાત્મક સુવિધાઓનો સારાંશ આપીએ, અને વિશ્લેષણ માટે સમર્થિત ભાષાઓને પણ ધ્યાનમાં લઈએ:

ભાષા
Nexus IQ
નિર્ભરતા તપાસ
નિર્ભરતા ટ્રેક

જાવા
+
+
+

C / C ++
+
+
-

C#
+
+
-

.નેટ
+
+
+

એર્લાંગ
-
-
+

જાવાસ્ક્રિપ્ટ (નોડજેએસ)
+
+
+

PHP
+
+
+

પાયથોન
+
+
+

રૂબી
+
+
+

પર્લ
-
-
-

સ્કાલા
+
+
+

ઉદ્દેશ સી
+
+
-

સ્વિફ્ટ
+
+
-

R
+
-
-

Go
+
+
+

કાર્યક્ષમતા

કાર્યક્ષમતા
Nexus IQ
નિર્ભરતા તપાસ
નિર્ભરતા ટ્રેક

સ્ત્રોત કોડમાં વપરાતા ઘટકો લાયસન્સવાળી શુદ્ધતા માટે તપાસવામાં આવે છે તેની ખાતરી કરવાની ક્ષમતા
+
-
+

ડોકર છબીઓ માટે નબળાઈઓ અને લાઇસન્સ સ્વચ્છતા માટે સ્કેન અને વિશ્લેષણ કરવાની ક્ષમતા
+ ક્લેર સાથે એકીકરણ
-
-

ઓપન સોર્સ લાઇબ્રેરીઓનો ઉપયોગ કરવા માટે સુરક્ષા નીતિઓને ગોઠવવાની ક્ષમતા
+
-
-

નબળા ઘટકો માટે ઓપન સોર્સ રિપોઝીટરીઝ સ્કેન કરવાની ક્ષમતા
+ રૂબીજેમ્સ, માવેન, એનપીએમ, નુગેટ, પીપી, કોનન, બોવર, કોન્ડા, ગો, પી 2, આર, યમ, હેલ્મ, ડોકર, કોકોપોડ્સ, ગિટ એલએફએસ
-
+ હેક્સ, રૂબીજેમ્સ, માવેન, એનપીએમ, ન્યુગેટ, પાયપી

વિશિષ્ટ સંશોધન જૂથની ઉપલબ્ધતા
+
-
-

બંધ લૂપ કામગીરી
+
+
+

થર્ડ પાર્ટી ડેટાબેસેસનો ઉપયોગ
+ બંધ સોનાટાઇપ ડેટાબેઝ
+ Sonatype OSS, NPM જાહેર સલાહકારો
+ Sonatype OSS, NPM જાહેર સલાહકારો, RetireJS, VulnDB, તેના પોતાના નબળાઈ ડેટાબેઝ માટે સપોર્ટ

રૂપરેખાંકિત નીતિઓ અનુસાર વિકાસ લૂપમાં લોડ કરવાનો પ્રયાસ કરતી વખતે ઓપન સોર્સ ઘટકોને ફિલ્ટર કરવાની ક્ષમતા
+
-
-

નબળાઈઓને ઠીક કરવા માટેની ભલામણો, ફિક્સેસની લિંક્સની ઉપલબ્ધતા
+
+- (સાર્વજનિક ડેટાબેઝમાં વર્ણન પર આધાર રાખે છે)
+- (સાર્વજનિક ડેટાબેઝમાં વર્ણન પર આધાર રાખે છે)

ગંભીરતા દ્વારા શોધાયેલ નબળાઈઓની રેન્કિંગ
+
+
+

રોલ-આધારિત એક્સેસ મોડલ
+
-
+

CLI સપોર્ટ
+
+
+- (ફક્ત CycloneDX માટે)

નિર્ધારિત માપદંડો અનુસાર નબળાઈઓના નમૂના/સૉર્ટિંગ
+
-
+

એપ્લિકેશન સ્થિતિ દ્વારા ડેશબોર્ડ
+
-
+

પીડીએફ ફોર્મેટમાં અહેવાલો જનરેટ કરી રહ્યા છીએ
+
-
-

JSONCSV ફોર્મેટમાં રિપોર્ટ્સ જનરેટ કરી રહ્યાં છીએ
+
+
-

રશિયન ભાષા આધાર
-
-
-

એકીકરણ ક્ષમતાઓ

એકીકરણ
Nexus IQ
નિર્ભરતા તપાસ
નિર્ભરતા ટ્રેક

LDAP/સક્રિય ડિરેક્ટરી એકીકરણ
+
-
+

સતત એકીકરણ સિસ્ટમ વાંસ સાથે એકીકરણ
+
-
-

સતત એકીકરણ સિસ્ટમ ટીમસિટી સાથે એકીકરણ
+
-
-

સતત એકીકરણ સિસ્ટમ GitLab સાથે એકીકરણ
+
+- (ગિટલેબ માટે પ્લગઇન તરીકે)
+

સતત એકીકરણ સિસ્ટમ જેનકિન્સ સાથે એકીકરણ
+
+
+

IDE માટે પ્લગિન્સની ઉપલબ્ધતા
+ IntelliJ, Eclipse, Visual Studio
-
-

ટૂલની વેબ-સેવાઓ (API) દ્વારા કસ્ટમ એકીકરણ માટે સપોર્ટ
+
-
+

નિર્ભરતા તપાસ

પ્રથમ શરૂઆત

ચાલો જાણીજોઈને સંવેદનશીલ એપ્લિકેશન પર ડિપેન્ડન્સી ચેક ચલાવીએ ડીવીજેએ.

આ માટે આપણે ઉપયોગ કરીશું ડિપેન્ડન્સી ચેક મેવન પ્લગઇન:

mvn org.owasp:dependency-check-maven:check

પરિણામે, નિર્ભરતા-ચેક-report.html લક્ષ્ય નિર્દેશિકામાં દેખાશે.

ચાલો ફાઈલ ખોલીએ. નબળાઈઓની કુલ સંખ્યા વિશે સારાંશ માહિતી પછી, અમે ઉચ્ચ સ્તરની ગંભીરતા અને આત્મવિશ્વાસ સાથે નબળાઈઓ વિશેની માહિતી જોઈ શકીએ છીએ, જે પેકેજ, CPE અને CVE ની સંખ્યા દર્શાવે છે.

આગળ વધુ વિગતવાર માહિતી આવે છે, ખાસ કરીને જેના આધારે નિર્ણય લેવામાં આવ્યો હતો (પુરાવા), એટલે કે ચોક્કસ BOM.

આગળ CPE, PURL અને CVE વર્ણન આવે છે. માર્ગ દ્વારા, NVD ડેટાબેઝમાં તેમની ગેરહાજરીને કારણે કરેક્શન માટેની ભલામણોનો સમાવેશ કરવામાં આવ્યો નથી.

સ્કેન પરિણામોને વ્યવસ્થિત રીતે જોવા માટે, તમે ન્યૂનતમ સેટિંગ્સ સાથે Nginx રૂપરેખાંકિત કરી શકો છો અથવા પરિણામી ખામીઓને ખામી વ્યવસ્થાપન સિસ્ટમમાં મોકલી શકો છો જે કનેક્ટર્સને ડિપેન્ડન્સી ચેકમાં સપોર્ટ કરે છે. ઉદાહરણ તરીકે, ડિફેક્ટ ડોજો.

નિર્ભરતા ટ્રેક

સ્થાપન

ડિપેન્ડન્સી ટ્રૅક, બદલામાં, ડિસ્પ્લે ગ્રાફ્સ સાથેનું વેબ-આધારિત પ્લેટફોર્મ છે, તેથી તૃતીય-પક્ષ ઉકેલમાં ખામીઓને સંગ્રહિત કરવાનો મુખ્ય મુદ્દો અહીં ઊભો થતો નથી.
ઇન્સ્ટોલેશન માટે સપોર્ટેડ સ્ક્રિપ્ટો છે: ડોકર, WAR, એક્ઝિક્યુટેબલ WAR.

પ્રથમ શરૂઆત

અમે ચાલી રહેલ સેવાના URL પર જઈએ છીએ. અમે એડમિન/એડમિન દ્વારા લૉગ ઇન કરીએ છીએ, લૉગિન અને પાસવર્ડ બદલીએ છીએ અને પછી ડેશબોર્ડ પર જઈએ છીએ. આગળની વસ્તુ અમે જાવા માં ટેસ્ટ એપ્લિકેશન માટે એક પ્રોજેક્ટ બનાવીશું ઘર/પ્રોજેક્ટ્સ → પ્રોજેક્ટ બનાવો . ચાલો DVJA ને ઉદાહરણ તરીકે લઈએ.

ડિપેન્ડન્સી ટ્રૅક ફક્ત BOM ને ઇનપુટ તરીકે સ્વીકારી શકે છે, આ BOM પુનઃપ્રાપ્ત કરવું આવશ્યક છે. ચાલો લાભ લઈએ CycloneDX Maven પ્લગઇન:

mvn org.cyclonedx:cyclonedx-maven-plugin:makeAggregateBom

આપણને bom.xml મળે છે અને બનાવેલ પ્રોજેક્ટમાં ફાઈલ લોડ કરીએ છીએ DVJA → નિર્ભરતા → BOM અપલોડ કરો.

ચાલો એડમિનિસ્ટ્રેશન → વિશ્લેષકો પર જઈએ. અમે સમજીએ છીએ કે અમારી પાસે ફક્ત આંતરિક વિશ્લેષક સક્ષમ છે, જેમાં NVD શામેલ છે. ચાલો Sonatype OSS Index ને પણ કનેક્ટ કરીએ.

આમ, અમને અમારા પ્રોજેક્ટ માટે નીચેનું ચિત્ર મળે છે:

સૂચિમાં પણ તમે સોનાટાઇપ OSS પર લાગુ પડતી એક નબળાઈ શોધી શકો છો:

મુખ્ય નિરાશા એ હતી કે ડિપેન્ડન્સી ટ્રેક હવે ડિપેન્ડન્સી ચેક xml રિપોર્ટ્સ સ્વીકારતો નથી. ડિપેન્ડન્સી ચેક ઇન્ટિગ્રેશનના નવીનતમ સપોર્ટેડ વર્ઝન 1.0.0 - 4.0.2 હતા, જ્યારે મેં 5.3.2 નું પરીક્ષણ કર્યું હતું.

અહીં видео (અને જોયેલુંજ્યારે તે હજુ પણ શક્ય હતું.

Nexus IQ

પ્રથમ શરૂઆત

Nexus IQ નું ઇન્સ્ટોલેશન આર્કાઇવ્સમાંથી આવે છે દસ્તાવેજીકરણ, પરંતુ અમે આ હેતુઓ માટે ડોકર ઇમેજ બનાવી છે.

કન્સોલમાં લોગ ઇન કર્યા પછી, તમારે એક સંસ્થા અને એપ્લિકેશન બનાવવાની જરૂર છે.

જેમ તમે જોઈ શકો છો, IQ ના કિસ્સામાં સેટઅપ કંઈક અંશે વધુ જટિલ છે, કારણ કે અમારે વિવિધ "તબક્કાઓ" (દેવ, બિલ્ડ, સ્ટેજ, રિલીઝ) માટે લાગુ પડતી નીતિઓ પણ બનાવવાની જરૂર છે. નબળા ઘટકોને બ્લોક કરવા માટે આ જરૂરી છે કારણ કે તેઓ ઉત્પાદનની નજીક પાઇપલાઇનમાંથી પસાર થાય છે, અથવા વિકાસકર્તાઓ દ્વારા ડાઉનલોડ કરવામાં આવે ત્યારે Nexus રેપોમાં પ્રવેશતાની સાથે જ તેમને અવરોધિત કરવા માટે આ જરૂરી છે.

ઓપન સોર્સ અને એન્ટરપ્રાઇઝ વચ્ચેનો તફાવત અનુભવવા માટે, ચાલો Nexus IQ દ્વારા તે જ રીતે સ્કેન કરીએ. મેવેન પ્લગઇન, NexusIQ ઇન્ટરફેસમાં અગાઉ એક પરીક્ષણ એપ્લિકેશન બનાવી છે dvja-test-and-compare:

mvn com.sonatype.clm:clm-maven-plugin:evaluate -Dclm.applicationId=dvja-test-and-compare -Dclm.serverUrl=<NEXUSIQIP> -Dclm.username=<USERNAME> -Dclm.password=<PASSWORD>

IQ વેબ ઈન્ટરફેસમાં જનરેટ થયેલ રિપોર્ટ માટે URL ને અનુસરો:

અહીં તમે વિવિધ મહત્વના સ્તરો (માહિતીથી લઈને સુરક્ષા જટિલ સુધી) દર્શાવતી તમામ નીતિ ઉલ્લંઘનો જોઈ શકો છો. ઘટકની બાજુમાં અક્ષર Dનો અર્થ એ થાય છે કે ઘટક સીધી નિર્ભરતા છે, અને ઘટકની બાજુમાં અક્ષર Tનો અર્થ એ છે કે ઘટક ટ્રાન્ઝિટિવ ડિપેન્ડન્સી છે, એટલે કે, તે ટ્રાન્ઝિટિવ છે.

માર્ગ દ્વારા, અહેવાલ સ્ટેટ ઓફ ઓપન સોર્સ સિક્યુરિટી રિપોર્ટ 2020 Snyk માંથી અહેવાલ આપે છે કે Node.js, Java અને Ruby માં શોધાયેલ 70% થી વધુ ઓપન સોર્સ નબળાઈઓ ટ્રાન્ઝિટિવ ડિપેન્ડન્સીમાં છે.

જો આપણે Nexus IQ નીતિના ઉલ્લંઘનોમાંથી એક ખોલીએ, તો અમે ઘટકનું વર્ણન, તેમજ વર્ઝન ગ્રાફ જોઈ શકીએ છીએ, જે સમયના ગ્રાફમાં વર્તમાન સંસ્કરણનું સ્થાન બતાવે છે, તેમજ નબળાઈ કયા બિંદુએ બંધ થાય છે. સંવેદનશીલ બનો. ગ્રાફ પર મીણબત્તીઓની ઊંચાઈ આ ઘટકનો ઉપયોગ કરવાની લોકપ્રિયતા દર્શાવે છે.

જો તમે નબળાઈઓ વિભાગમાં જાઓ અને CVE ને વિસ્તૃત કરો, તો તમે આ નબળાઈનું વર્ણન, દૂર કરવા માટેની ભલામણો તેમજ આ ઘટકનું ઉલ્લંઘન કેમ થયું હતું તેનું કારણ, એટલે કે વર્ગની હાજરી વાંચી શકો છો. DiskFileitem.class.

ચાલો js ઘટકોને દૂર કરીને, તૃતીય-પક્ષ જાવા ઘટકોથી સંબંધિત માત્ર સારાંશ આપીએ. કૌંસમાં અમે નબળાઈઓની સંખ્યા સૂચવીએ છીએ જે NVD ની બહાર જોવા મળી હતી.

કુલ Nexus IQ:

• નિર્ભરતાઓ સ્કેન કરેલ: 62
• સંવેદનશીલ અવલંબન: 16
• નબળાઈઓ મળી: 42 (8 સોનાટાઈપ ડીબી)

કુલ નિર્ભરતા તપાસ:

• નિર્ભરતાઓ સ્કેન કરેલ: 47
• સંવેદનશીલ અવલંબન: 13
• નબળાઈઓ મળી: 91 (14 સોનાટાઈપ ઓએસએસ)

કુલ નિર્ભરતા ટ્રેક:

• નિર્ભરતાઓ સ્કેન કરેલ: 59
• સંવેદનશીલ અવલંબન: 10
• નબળાઈઓ મળી: 51 (1 સોનાટાઈપ ઓએસએસ)

આગળના પગલાઓમાં, અમે પ્રાપ્ત પરિણામોનું વિશ્લેષણ કરીશું અને આમાંથી કઈ નબળાઈઓ વાસ્તવિક ખામી છે અને કઈ ખોટી હકારાત્મક છે તે શોધી કાઢીશું.

અસ્વીકરણ

આ સમીક્ષા નિર્વિવાદ સત્ય નથી. લેખક પાસે અન્યની પૃષ્ઠભૂમિ સામે એક અલગ સાધનને પ્રકાશિત કરવાનો ધ્યેય નહોતો. સમીક્ષાનો હેતુ SCA ટૂલ્સના સંચાલનની પદ્ધતિઓ અને તેમના પરિણામો તપાસવાની રીતો બતાવવાનો હતો.

પરિણામોની સરખામણી

શરતો:

તૃતીય-પક્ષ ઘટક નબળાઈઓ માટે ખોટા હકારાત્મક છે:

• ઓળખાયેલ ઘટક સાથે CVE મેળ ખાતું નથી
• ઉદાહરણ તરીકે, જો સ્ટ્રટ્સ2 ફ્રેમવર્કમાં નબળાઈ ઓળખવામાં આવે છે, અને ટૂલ સ્ટ્રટ્સ-ટાઈલ્સ ફ્રેમવર્કના એક ઘટક તરફ નિર્દેશ કરે છે, જેના પર આ નબળાઈ લાગુ પડતી નથી, તો આ ખોટી હકારાત્મક છે.
• ઘટકના ઓળખાયેલ સંસ્કરણ સાથે CVE મેળ ખાતું નથી
• ઉદાહરણ તરીકે, નબળાઈ python વર્ઝન > 3.5 સાથે જોડાયેલી છે અને ટૂલ વર્ઝન 2.7 ને સંવેદનશીલ તરીકે ચિહ્નિત કરે છે - આ ખોટા હકારાત્મક છે, કારણ કે વાસ્તવમાં નબળાઈ માત્ર 3.x ઉત્પાદન શાખાને જ લાગુ પડે છે.
• ડુપ્લિકેટ CVE
• ઉદાહરણ તરીકે, જો SCA એ CVE નો ઉલ્લેખ કરે છે જે RCE ને સક્ષમ કરે છે, તો SCA તે જ ઘટક માટે CVE નો ઉલ્લેખ કરે છે જે તે RCE દ્વારા પ્રભાવિત સિસ્કો ઉત્પાદનોને લાગુ પડે છે. આ કિસ્સામાં તે ખોટા હકારાત્મક હશે.
• ઉદાહરણ તરીકે, સ્પ્રિંગ-વેબ કમ્પોનન્ટમાં CVE મળી આવ્યું હતું, જે પછી SCA એ સ્પ્રિંગ ફ્રેમવર્કના અન્ય ઘટકોમાં સમાન CVE તરફ નિર્દેશ કરે છે, જ્યારે CVE ને અન્ય ઘટકો સાથે કોઈ લેવાદેવા નથી. આ કિસ્સામાં તે ખોટા હકારાત્મક હશે.

અભ્યાસનો ઉદ્દેશ ઓપન સોર્સ પ્રોજેક્ટ DVJA હતો. અભ્યાસમાં માત્ર જાવા ઘટકો સામેલ હતા (જેએસ વિના).

સારાંશ પરિણામો

ચાલો ઓળખાયેલ નબળાઈઓની મેન્યુઅલ સમીક્ષાના પરિણામો પર સીધા જઈએ. દરેક CVE માટેનો સંપૂર્ણ અહેવાલ પરિશિષ્ટમાં મળી શકે છે.

તમામ નબળાઈઓ માટે સારાંશ પરિણામો:

પેરામીટર
Nexus IQ
નિર્ભરતા તપાસ
નિર્ભરતા ટ્રેક

કુલ નબળાઈઓ ઓળખાઈ
42
91
51

ખોટી રીતે ઓળખાયેલ નબળાઈઓ (ખોટી હકારાત્મક)
2 (4.76%)
62 (68,13%)
29 (56.86%)

કોઈ સંબંધિત નબળાઈઓ મળી નથી (ખોટી નકારાત્મક)
10
20
27

ઘટક દ્વારા સારાંશ પરિણામો:

પેરામીટર
Nexus IQ
નિર્ભરતા તપાસ
નિર્ભરતા ટ્રેક

કુલ ઘટકો ઓળખાયા
62
47
59

કુલ સંવેદનશીલ ઘટકો
16
13
10

અયોગ્ય રીતે ઓળખાયેલા નબળા ઘટકો (ખોટા હકારાત્મક)
1
5
0

અયોગ્ય રીતે ઓળખાયેલા નબળા ઘટકો (ખોટા હકારાત્મક)
0
6
6

ચાલો નબળાઈઓની કુલ સંખ્યા સાથે ખોટા હકારાત્મક અને ખોટા નકારાત્મકના ગુણોત્તરનું મૂલ્યાંકન કરવા માટે વિઝ્યુઅલ ગ્રાફ બનાવીએ. ઘટકોને આડા ચિહ્નિત કરવામાં આવે છે, અને તેમાં ઓળખાયેલી નબળાઈઓને ઊભી રીતે ચિહ્નિત કરવામાં આવે છે.

સરખામણી માટે, સોનાટાઇપ ટીમ દ્વારા OWASP ડિપેન્ડન્સી ચેકનો ઉપયોગ કરીને 1531 ઘટકોના પ્રોજેક્ટનું પરીક્ષણ કરતી સમાન અભ્યાસ હાથ ધરવામાં આવ્યો હતો. જેમ આપણે જોઈ શકીએ છીએ, સાચા જવાબો માટે અવાજનો ગુણોત્તર અમારા પરિણામો સાથે તુલનાત્મક છે.

સોર્સ: www.sonatype.com/why-precision-matters-ebook

ચાલો આ પરિણામોનું કારણ સમજવા માટે અમારા સ્કેન પરિણામોમાંથી કેટલાક CVE જોઈએ.

વધુ વાંચો

ના .1

ચાલો પહેલા Sonatype Nexus IQ વિશેના કેટલાક રસપ્રદ મુદ્દાઓ જોઈએ.

Nexus IQ સ્પ્રિંગ ફ્રેમવર્કમાં ઘણી વખત RCE કરવાની ક્ષમતા સાથે ડીસીરિયલાઈઝેશનની સમસ્યા દર્શાવે છે. વસંત-વેબમાં CVE-2016-1000027: 3.0.5 પ્રથમ વખત, અને CVE-2011-2894 વસંત-સંદર્ભમાં:3.0.5 અને વસંત-કોર:3.0.5. શરૂઆતમાં, એવું લાગે છે કે બહુવિધ CVE માં નબળાઈનું ડુપ્લિકેશન છે. કારણ કે, જો તમે NVD ડેટાબેઝમાં CVE-2016-1000027 અને CVE-2011-2894 જુઓ, તો એવું લાગે છે કે બધું સ્પષ્ટ છે

ઘટક
નબળાઇ

spring-web:3.0.5
CVE-2016-1000027

વસંત-સંદર્ભ:3.0.5
CVE-2011-2894

સ્પ્રિંગ-કોર:3.0.5
CVE-2011-2894

વર્ણન CVE-2011-2894 NVD તરફથી:


વર્ણન CVE-2016-1000027 NVD તરફથી:


CVE-2011-2894 પોતે ખૂબ પ્રખ્યાત છે. અહેવાલમાં વ્હાઇટ સોર્સ 2011 આ CVE સૌથી સામાન્ય તરીકે ઓળખવામાં આવ્યું હતું. CVE-2016-100027 માટેના વર્ણનો, સૈદ્ધાંતિક રીતે, NVDમાં ઓછા છે, અને તે ફક્ત સ્પ્રિંગ ફ્રેમવર્ક 4.1.4 માટે જ લાગુ પડે છે. ચાલો એક નજર કરીએ સંદર્ભ અને અહીં બધું વધુ કે ઓછું સ્પષ્ટ બને છે. થી ટેનેબલ લેખો અમે સમજીએ છીએ કે માં નબળાઈ ઉપરાંત RemoteInvocationSerializingExporter CVE-2011-2894 માં, નબળાઈ જોવા મળે છે HttpInvokerServiceExporter. આ તે છે જે Nexus IQ અમને કહે છે:

જો કે, NVDમાં આવું કંઈ નથી, તેથી જ ડિપેન્ડન્સી ચેક અને ડિપેન્ડન્સી ટ્રૅક દરેકને ખોટા નેગેટિવ મળે છે.

CVE-2011-2894 ના વર્ણન પરથી પણ સમજી શકાય છે કે નબળાઈ ખરેખર વસંત-સંદર્ભ:3.0.5 અને વસંત-કોર:3.0.5 બંનેમાં હાજર છે. આની પુષ્ટિ એ વ્યક્તિના લેખમાં મળી શકે છે જેને આ નબળાઈ મળી છે.

ના .2

ઘટક
નબળાઇ
પરિણામ

struts2-core:2.3.30
CVE-2016-4003
ખોટું

જો આપણે નબળાઈ CVE-2016-4003 નો અભ્યાસ કરીશું, તો અમે સમજીશું કે તે સંસ્કરણ 2.3.28 માં નિશ્ચિત કરવામાં આવ્યું હતું, જો કે, Nexus IQ અમને તેની જાણ કરે છે. નબળાઈના વર્ણનમાં એક નોંધ છે:

એટલે કે, નબળાઈ ફક્ત JRE ના જૂના સંસ્કરણ સાથે જ અસ્તિત્વમાં છે, જેના વિશે તેઓએ અમને ચેતવણી આપવાનું નક્કી કર્યું છે. તેમ છતાં, અમે આને ખોટા હકારાત્મક ગણીએ છીએ, જોકે સૌથી ખરાબ નથી.

3 XNUMX

ઘટક
નબળાઇ
પરિણામ

xwork-core:2.3.30
CVE-2017-9804
સાચું

xwork-core:2.3.30
CVE-2017-7672
ખોટું

જો આપણે CVE-2017-9804 અને CVE-2017-7672 ના વર્ણનો જોઈએ, તો આપણે સમજીશું કે સમસ્યા URLValidator class, CVE-2017-9804 સાથે CVE-2017-7672 થી ઉદ્દભવે છે. બીજી નબળાઈની હાજરી એ હકીકત સિવાય અન્ય કોઈ ઉપયોગી ભાર વહન કરતી નથી કે તેની તીવ્રતા વધી ગઈ છે, તેથી આપણે તેને બિનજરૂરી અવાજ ગણી શકીએ.

સામાન્ય રીતે, Nexus IQ માટે અન્ય કોઈ ખોટા હકારાત્મક જોવા મળ્યા નથી.

ના .4

એવી ઘણી બાબતો છે જે IQ ને અન્ય ઉકેલોથી અલગ બનાવે છે.

ઘટક
નબળાઇ
પરિણામ

spring-web:3.0.5
CVE-2020-5398
સાચું

NVD માં CVE જણાવે છે કે તે ફક્ત 5.2 પહેલાના વર્ઝન 5.2.3.x, 5.1 પહેલાના 5.1.13.x અને 5.0 પહેલાના વર્ઝન 5.0.16.x પર જ લાગુ પડે છે, જો કે, જો આપણે Nexus IQ માં CVE વર્ણન જોઈએ તો , પછી આપણે નીચેની બાબતો જોઈશું:
એડવાઇઝરી ડેવિએશન નોટિસ: Sonatype સુરક્ષા સંશોધન ટીમે શોધ્યું કે આ નબળાઈ આવૃત્તિ 3.0.2.RELEASE માં રજૂ કરવામાં આવી હતી અને એડવાઈઝરીમાં જણાવ્યા મુજબ 5.0.x નહીં.

આ નબળાઈ માટે એક PoC દ્વારા અનુસરવામાં આવે છે, જે જણાવે છે કે તે સંસ્કરણ 3.0.5 માં હાજર છે.

ફોલ્સ નેગેટિવ ડિપેન્ડન્સી ચેક અને ડિપેન્ડન્સી ટ્રેક પર મોકલવામાં આવે છે.

ના .5

ચાલો ડિપેન્ડન્સી ચેક અને ડિપેન્ડન્સી ટ્રેક માટે ફોલ્સ પોઝિટિવ જોઈએ.

ડિપેન્ડન્સી ચેક એ સ્પષ્ટ છે કે તે તે CVE ને પ્રતિબિંબિત કરે છે જે NVD માં સમગ્ર માળખામાં તે ઘટકો પર લાગુ થાય છે કે જેના પર આ CVE લાગુ થતા નથી. આ CVE-2012-0394, CVE-2013-2115, CVE-2014-0114, CVE-2015-0899, CVE-2015-2992, CVE-2016-1181, CVE-2016-1182, CVE-1.3.8-1.3.8 ની તપાસ સાથે સંબંધિત છે. ” થી સ્ટ્રટ્સ-ટેગલિબ:XNUMX અને સ્ટ્રટ્સ-ટાઈલ્સ-XNUMX. આ ઘટકોને CVE માં વર્ણવેલ વસ્તુ સાથે કોઈ લેવાદેવા નથી - વિનંતી પ્રક્રિયા, પૃષ્ઠ માન્યતા, અને તેથી વધુ. આ એ હકીકતને કારણે છે કે આ CVE અને ઘટકોમાં જે સામ્ય છે તે માત્ર ફ્રેમવર્ક છે, તેથી જ ડિપેન્ડન્સી ચેક તેને નબળાઈ માને છે.

આ જ પરિસ્થિતિ spring-tx:3.0.5 સાથે છે, અને struts-core:1.3.8 સાથે સમાન પરિસ્થિતિ છે. સ્ટ્રટ્સ-કોર માટે, ડિપેન્ડન્સી ચેક અને ડિપેન્ડન્સી ટ્રેકને ઘણી બધી નબળાઈઓ મળી છે જે વાસ્તવમાં સ્ટ્રટ્સ2-કોરને લાગુ પડે છે, જે આવશ્યકપણે એક અલગ ફ્રેમવર્ક છે. આ કિસ્સામાં, Nexus IQ ચિત્રને યોગ્ય રીતે સમજે છે અને તેણે જારી કરેલા CVE માં, તે દર્શાવે છે કે સ્ટ્રટ્સ-કોર જીવનના અંત સુધી પહોંચી ગયું છે અને તેને સ્ટ્રટ્સ2-કોરમાં જવાનું જરૂરી છે.

ના .6

કેટલીક પરિસ્થિતિઓમાં, સ્પષ્ટ નિર્ભરતા તપાસ અને નિર્ભરતા ટ્રેક ભૂલનું અર્થઘટન કરવું અયોગ્ય છે. ખાસ કરીને CVE-2013-4152, CVE-2013-6429, CVE-2013-6430, CVE-2013-7315, CVE-2014-0054, CVE-2014-0225, CVE-2014-0225, CVE-3.0.5-3.0.5 અને ટ્રેપેન્સી ડીએપી XNUMX એન્ડ ડીએન્ડ સ્પ્રિંગ-કોર:XNUMX વાસ્તવમાં સ્પ્રિંગ-વેબથી સંબંધિત છે:XNUMX. તે જ સમયે, આમાંના કેટલાક CVE નેક્સસ IQ દ્વારા પણ મળી આવ્યા હતા, જો કે, IQ એ તેમને અન્ય ઘટક માટે યોગ્ય રીતે ઓળખ્યા. કારણ કે આ નબળાઈઓ સ્પ્રિંગ-કોરમાં મળી ન હતી, એવી દલીલ કરી શકાતી નથી કે તેઓ સિદ્ધાંતમાં માળખામાં નથી અને ઓપન સોર્સ ટૂલ્સે આ નબળાઈઓને યોગ્ય રીતે દર્શાવી છે (તેઓ થોડી ચૂકી ગયા છે).

તારણો

જેમ આપણે જોઈ શકીએ છીએ, મેન્યુઅલ સમીક્ષા દ્વારા ઓળખાયેલ નબળાઈઓની વિશ્વસનીયતા નક્કી કરવાથી અસ્પષ્ટ પરિણામો મળતા નથી, તેથી જ વિવાદાસ્પદ મુદ્દાઓ ઉભા થાય છે. પરિણામો એ છે કે Nexus IQ સોલ્યુશનમાં સૌથી ઓછો ખોટો હકારાત્મક દર અને સૌથી વધુ ચોકસાઈ છે.

સૌ પ્રથમ, આ એ હકીકતને કારણે છે કે Sonatype ટીમે તેના ડેટાબેઝમાં NVD માંથી દરેક CVE નબળાઈ માટેનું વર્ણન વિસ્તૃત કર્યું છે, જે ઘટકોના ચોક્કસ સંસ્કરણ માટે વર્ગ અથવા કાર્ય માટે નબળાઈઓને સૂચવે છે, વધારાના સંશોધન હાથ ધરે છે (ઉદાહરણ તરીકે , જૂના સોફ્ટવેર વર્ઝન પર નબળાઈઓ તપાસી રહી છે).

પરિણામો પર મહત્વપૂર્ણ પ્રભાવ તે નબળાઈઓ દ્વારા પણ ભજવવામાં આવે છે જે NVD માં સમાવિષ્ટ ન હતા, પરંતુ તેમ છતાં તે SONATYPE માર્ક સાથે સોનાટાઈપ ડેટાબેઝમાં હાજર છે. અહેવાલ મુજબ ઓપન સોર્સ સુરક્ષા નબળાઈઓનું રાજ્ય 2020 શોધાયેલ ઓપન સોર્સ નબળાઈઓમાંથી 45% NVD ને જાણ કરવામાં આવી નથી. વ્હાઇટસોર્સ ડેટાબેઝ મુજબ, NVD ની બહાર નોંધાયેલી તમામ ઓપન સોર્સ નબળાઈઓમાંથી માત્ર 29% ત્યાં જ પ્રકાશિત થાય છે, તેથી જ અન્ય સ્ત્રોતોમાં પણ નબળાઈઓ શોધવી મહત્વપૂર્ણ છે.

પરિણામે, ડિપેન્ડન્સી ચેક ઘણો ઘોંઘાટ પેદા કરે છે, જેમાં કેટલાક સંવેદનશીલ ઘટકો ખૂટે છે. ડિપેન્ડન્સી ટ્રેક ઓછો અવાજ ઉત્પન્ન કરે છે અને મોટી સંખ્યામાં ઘટકોને શોધી કાઢે છે, જે વેબ ઈન્ટરફેસમાં આંખોને દૃષ્ટિની રીતે નુકસાન પહોંચાડતું નથી.

જો કે, પ્રેક્ટિસ બતાવે છે કે ઓપન સોર્સ એ પરિપક્વ DevSecOps તરફનું પ્રથમ પગલું હોવું જોઈએ. વિકાસમાં SCA ને એકીકૃત કરતી વખતે તમારે પ્રથમ વસ્તુ વિશે વિચારવું જોઈએ તે પ્રક્રિયાઓ છે, એટલે કે, તમારી સંસ્થામાં આદર્શ પ્રક્રિયાઓ કેવી હોવી જોઈએ તે વિશે મેનેજમેન્ટ અને સંબંધિત વિભાગો સાથે મળીને વિચારવું. તે બહાર આવી શકે છે કે તમારી સંસ્થા માટે, શરૂઆતમાં, ડિપેન્ડન્સી ચેક અથવા ડિપેન્ડન્સી ટ્રૅક તમામ વ્યવસાયિક જરૂરિયાતોને આવરી લેશે, અને એન્ટરપ્રાઇઝ સોલ્યુશન્સ વિકસાવવામાં આવી રહેલી એપ્લિકેશન્સની વધતી જતી જટિલતાને કારણે તાર્કિક ચાલુ રહેશે.

પરિશિષ્ટ A: ઘટક પરિણામો
દંતકથા:

• ઘટકમાં ઉચ્ચ-ઉચ્ચ અને નિર્ણાયક સ્તરની નબળાઈઓ
• મધ્યમ - ઘટકમાં મધ્યમ જટિલતા સ્તરની નબળાઈઓ
• સાચું - સાચો હકારાત્મક મુદ્દો
• FALSE — ખોટો હકારાત્મક મુદ્દો

ઘટક
Nexus IQ
નિર્ભરતા તપાસ
નિર્ભરતા ટ્રેક
પરિણામ

dom4j: 1.6.1
હાઇ
હાઇ
હાઇ
સાચું

log4j-core: 2.3
હાઇ
હાઇ
હાઇ
સાચું

log4j: 1.2.14
હાઇ
હાઇ
-
સાચું

કોમન્સ-સંગ્રહો:3.1
હાઇ
હાઇ
હાઇ
સાચું

કોમન્સ-ફાઈલ અપલોડ:1.3.2
હાઇ
હાઇ
હાઇ
સાચું

કોમન્સ-બીનટીલ્સ:1.7.0
હાઇ
હાઇ
હાઇ
સાચું

કોમન્સ-કોડેક:1:10
મધ્યમ
-
-
સાચું

mysql-connector-java:5.1.42
હાઇ
હાઇ
હાઇ
સાચું

વસંત-અભિવ્યક્તિ:3.0.5
હાઇ
ઘટક મળ્યો નથી

સાચું

spring-web:3.0.5
હાઇ
ઘટક મળ્યો નથી
હાઇ
સાચું

વસંત-સંદર્ભ:3.0.5
મધ્યમ
ઘટક મળ્યો નથી
-
સાચું

સ્પ્રિંગ-કોર:3.0.5
મધ્યમ
હાઇ
હાઇ
સાચું

struts2-config-browser-plugin:2.3.30
મધ્યમ
-
-
સાચું

spring-tx:3.0.5
-
હાઇ
-
ખોટું

સ્ટ્રટ્સ-કોર:1.3.8
હાઇ
હાઇ
હાઇ
સાચું

xwork-core: 2.3.30
હાઇ
-
-
સાચું

struts2-core: 2.3.30
હાઇ
હાઇ
હાઇ
સાચું

સ્ટ્રટ્સ-ટેગલિબ:1.3.8
-
હાઇ
-
ખોટું

સ્ટ્રટ્સ-ટાઈલ્સ-1.3.8
-
હાઇ
-
ખોટું

પરિશિષ્ટ B: નબળાઈ પરિણામો
દંતકથા:

• ઘટકમાં ઉચ્ચ-ઉચ્ચ અને નિર્ણાયક સ્તરની નબળાઈઓ
• મધ્યમ - ઘટકમાં મધ્યમ જટિલતા સ્તરની નબળાઈઓ
• સાચું - સાચો હકારાત્મક મુદ્દો
• FALSE — ખોટો હકારાત્મક મુદ્દો

ઘટક
Nexus IQ
નિર્ભરતા તપાસ
નિર્ભરતા ટ્રેક
તીવ્રતા
પરિણામ
ટિપ્પણી

dom4j: 1.6.1
CVE-2018-1000632
CVE-2018-1000632
CVE-2018-1000632
હાઇ
સાચું

CVE-2020-10683
CVE-2020-10683
CVE-2020-10683
હાઇ
સાચું

log4j-core: 2.3
CVE-2017-5645
CVE-2017-5645
CVE-2017-5645
હાઇ
સાચું

CVE-2020-9488
CVE-2020-9488
CVE-2020-9488
નીચા
સાચું

log4j: 1.2.14
CVE-2019-17571
CVE-2019-17571
-
હાઇ
સાચું

-
CVE-2020-9488
-
નીચા
સાચું

SONATYPE-2010-0053
-
-
હાઇ
સાચું

કોમન્સ-સંગ્રહો:3.1
-
CVE-2015-6420
CVE-2015-6420
હાઇ
ખોટું
ડુપ્લિકેટ્સ RCE(OSSINDEX)

-
CVE-2017-15708
CVE-2017-15708
હાઇ
ખોટું
ડુપ્લિકેટ્સ RCE(OSSINDEX)

SONATYPE-2015-0002
RCE (OSSINDEX)
RCE(OSSINDEX)
હાઇ
સાચું

કોમન્સ-ફાઈલ અપલોડ:1.3.2
CVE-2016-1000031
CVE-2016-1000031
CVE-2016-1000031
હાઇ
સાચું

SONATYPE-2014-0173
-
-
મધ્યમ
સાચું

કોમન્સ-બીનટીલ્સ:1.7.0
CVE-2014-0114
CVE-2014-0114
CVE-2014-0114
હાઇ
સાચું

-
CVE-2019-10086
CVE-2019-10086
હાઇ
ખોટું
નબળાઈ માત્ર આવૃત્તિઓ 1.9.2+ પર લાગુ થાય છે

કોમન્સ-કોડેક:1:10
SONATYPE-2012-0050
-
-
મધ્યમ
સાચું

mysql-connector-java:5.1.42
CVE-2018-3258
CVE-2018-3258
CVE-2018-3258
હાઇ
સાચું

CVE-2019-2692
CVE-2019-2692
-
મધ્યમ
સાચું

-
CVE-2020-2875
-
મધ્યમ
ખોટું
CVE-2019-2692 જેવી જ નબળાઈ, પરંતુ નોંધ સાથે "હુમલા વધારાના ઉત્પાદનોને નોંધપાત્ર રીતે અસર કરી શકે છે"

-
CVE-2017-15945
-
હાઇ
ખોટું
mysql-connector-java સાથે સંબંધિત નથી

-
CVE-2020-2933
-
નીચા
ખોટું
CVE-2020-2934 નું ડુપ્લિકેટ

CVE-2020-2934
CVE-2020-2934
-
મધ્યમ
સાચું

વસંત-અભિવ્યક્તિ:3.0.5
CVE-2018-1270
ઘટક મળ્યો નથી
-
હાઇ
સાચું

CVE-2018-1257
-
-
મધ્યમ
સાચું

spring-web:3.0.5
CVE-2016-1000027
ઘટક મળ્યો નથી
-
હાઇ
સાચું

CVE-2014-0225
-
CVE-2014-0225
હાઇ
સાચું

CVE-2011-2730
-
-
હાઇ
સાચું

-
-
CVE-2013-4152
મધ્યમ
સાચું

CVE-2018-1272
-
-
હાઇ
સાચું

CVE-2020-5398
-
-
હાઇ
સાચું
IQ ની તરફેણમાં એક ઉદાહરણરૂપ ઉદાહરણ: "સોનાટાઇપ સુરક્ષા સંશોધન ટીમે શોધ્યું કે આ નબળાઈ આવૃત્તિ 3.0.2.RELEASE માં રજૂ કરવામાં આવી હતી અને એડવાઈઝરીમાં જણાવ્યા મુજબ 5.0.x નહીં."

CVE-2013-6429
-
-
મધ્યમ
સાચું

CVE-2014-0054
-
CVE-2014-0054
મધ્યમ
સાચું

CVE-2013-6430
-
-
મધ્યમ
સાચું

વસંત-સંદર્ભ:3.0.5
CVE-2011-2894
ઘટક મળ્યો નથી
-
મધ્યમ
સાચું

સ્પ્રિંગ-કોર:3.0.5
-
CVE-2011-2730
CVE-2011-2730
હાઇ
સાચું

CVE-2011-2894
CVE-2011-2894
CVE-2011-2894
મધ્યમ
સાચું

-
-
CVE-2013-4152
મધ્યમ
ખોટું
વસંત-વેબમાં સમાન નબળાઈનું ડુપ્લિકેટ

-
CVE-2013-4152
-
મધ્યમ
ખોટું
નબળાઈ વસંત-વેબ ઘટક સાથે સંબંધિત છે

-
CVE-2013-6429
CVE-2013-6429
મધ્યમ
ખોટું
નબળાઈ વસંત-વેબ ઘટક સાથે સંબંધિત છે

-
CVE-2013-6430
-
મધ્યમ
ખોટું
નબળાઈ વસંત-વેબ ઘટક સાથે સંબંધિત છે

-
CVE-2013-7315
CVE-2013-7315
મધ્યમ
ખોટું
CVE-2013-4152 માંથી સ્પ્લિટ. + નબળાઈ વસંત-વેબ ઘટક સાથે સંબંધિત છે

-
CVE-2014-0054
CVE-2014-0054
મધ્યમ
ખોટું
નબળાઈ વસંત-વેબ ઘટક સાથે સંબંધિત છે

-
CVE-2014-0225
-
હાઇ
ખોટું
નબળાઈ વસંત-વેબ ઘટક સાથે સંબંધિત છે

-
-
CVE-2014-0225
હાઇ
ખોટું
વસંત-વેબમાં સમાન નબળાઈનું ડુપ્લિકેટ

-
CVE-2014-1904
CVE-2014-1904
મધ્યમ
ખોટું
નબળાઈ spring-web-mvc ઘટક સાથે સંબંધિત છે

-
CVE-2014-3625
CVE-2014-3625
મધ્યમ
ખોટું
નબળાઈ spring-web-mvc ઘટક સાથે સંબંધિત છે

-
CVE-2016-9878
CVE-2016-9878
હાઇ
ખોટું
નબળાઈ spring-web-mvc ઘટક સાથે સંબંધિત છે

-
CVE-2018-1270
CVE-2018-1270
હાઇ
ખોટું
વસંત-અભિવ્યક્તિ/વસંત-સંદેશાઓ માટે

-
CVE-2018-1271
CVE-2018-1271
મધ્યમ
ખોટું
નબળાઈ spring-web-mvc ઘટક સાથે સંબંધિત છે

-
CVE-2018-1272
CVE-2018-1272
હાઇ
સાચું

CVE-2014-3578
CVE-2014-3578 (OSSINDEX)
CVE-2014-3578
મધ્યમ
સાચું

SONATYPE-2015-0327
-
-
નીચા
સાચું

struts2-config-browser-plugin:2.3.30
SONATYPE-2016-0104
-
-
મધ્યમ
સાચું

spring-tx:3.0.5
-
CVE-2011-2730
-
હાઇ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

-
CVE-2011-2894
-
હાઇ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

-
CVE-2013-4152
-
મધ્યમ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

-
CVE-2013-6429
-
મધ્યમ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

-
CVE-2013-6430
-
મધ્યમ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

-
CVE-2013-7315
-
મધ્યમ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

-
CVE-2014-0054
-
મધ્યમ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

-
CVE-2014-0225
-
હાઇ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

-
CVE-2014-1904
-
મધ્યમ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

-
CVE-2014-3625
-
મધ્યમ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

-
CVE-2016-9878
-
હાઇ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

-
CVE-2018-1270
-
હાઇ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

-
CVE-2018-1271
-
મધ્યમ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

-
CVE-2018-1272
-
મધ્યમ
ખોટું
નબળાઈ spring-tx માટે વિશિષ્ટ નથી

સ્ટ્રટ્સ-કોર:1.3.8
-
CVE-2011-5057 (OSSINDEX)

મધ્યમ
FASLE
સ્ટ્રટ્સ 2 માટે નબળાઈ

-
CVE-2012-0391 (OSSINDEX)
CVE-2012-0391
હાઇ
ખોટું
સ્ટ્રટ્સ 2 માટે નબળાઈ

-
CVE-2014-0094 (OSSINDEX)
CVE-2014-0094
મધ્યમ
ખોટું
સ્ટ્રટ્સ 2 માટે નબળાઈ

-
CVE-2014-0113 (OSSINDEX)
CVE-2014-0113
હાઇ
ખોટું
સ્ટ્રટ્સ 2 માટે નબળાઈ

CVE-2016-1182
3VE-2016-1182
-
હાઇ
સાચું

-
-
CVE-2011-5057
મધ્યમ
ખોટું
સ્ટ્રટ્સ 2 માટે નબળાઈ

-
CVE-2012-0392 (OSSINDEX)
CVE-2012-0392
હાઇ
ખોટું
સ્ટ્રટ્સ 2 માટે નબળાઈ

-
CVE-2012-0393 (OSSINDEX)
CVE-2012-0393
મધ્યમ
ખોટું
સ્ટ્રટ્સ 2 માટે નબળાઈ

CVE-2015-0899
CVE-2015-0899
-
હાઇ
સાચું

-
CVE-2012-0394
CVE-2012-0394
મધ્યમ
ખોટું
સ્ટ્રટ્સ 2 માટે નબળાઈ

-
CVE-2012-0838 (OSSINDEX)
CVE-2012-0838
હાઇ
ખોટું
સ્ટ્રટ્સ 2 માટે નબળાઈ

-
CVE-2013-1965 (OSSINDEX)
CVE-2013-1965
હાઇ
ખોટું
સ્ટ્રટ્સ 2 માટે નબળાઈ

-
CVE-2013-1966 (OSSINDEX)
CVE-2013-1966
હાઇ
FASLE
સ્ટ્રટ્સ 2 માટે નબળાઈ

-
CVE-2013-2115
CVE-2013-2115
હાઇ
FASLE
સ્ટ્રટ્સ 2 માટે નબળાઈ

-
CVE-2013-2134 (OSSINDEX)
CVE-2013-2134
હાઇ
FASLE
સ્ટ્રટ્સ 2 માટે નબળાઈ

-
CVE-2013-2135 (OSSINDEX)
CVE-2013-2135
હાઇ
FASLE
સ્ટ્રટ્સ 2 માટે નબળાઈ

CVE-2014-0114
CVE-2014-0114
-
હાઇ
સાચું

-
CVE-2015-2992
CVE-2015-2992
મધ્યમ
ખોટું
સ્ટ્રટ્સ 2 માટે નબળાઈ

-
CVE-2016-0785 (OSSINDEX)
CVE-2016-0785
હાઇ
ખોટું
સ્ટ્રટ્સ 2 માટે નબળાઈ

CVE-2016-1181
CVE-2016-1181
-
હાઇ
સાચું

-
CVE-2016-4003 (OSSINDEX)
CVE-2016-4003
હાઇ
ખોટું
સ્ટ્રટ્સ 2 માટે નબળાઈ

xwork-core:2.3.30
CVE-2017-9804
-
-
હાઇ
સાચું

SONATYPE-2017-0173
-
-
હાઇ
સાચું

CVE-2017-7672
-
-
હાઇ
ખોટું
CVE-2017-9804 નું ડુપ્લિકેટ

SONATYPE-2016-0127
-
-
હાઇ
સાચું

struts2-core:2.3.30
-
CVE-2016-6795
CVE-2016-6795
હાઇ
સાચું

-
CVE-2017-9787
CVE-2017-9787
હાઇ
સાચું

-
CVE-2017-9791
CVE-2017-9791
હાઇ
સાચું

-
CVE-2017-9793
-
હાઇ
ખોટું
CVE-2018-1327 નું ડુપ્લિકેટ

-
CVE-2017-9804
-
હાઇ
સાચું

-
CVE-2017-9805
CVE-2017-9805
હાઇ
સાચું

CVE-2016-4003
-
-
મધ્યમ
ખોટું
Apache Struts 2.x ને 2.3.28 સુધી લાગુ, જે આવૃત્તિ 2.3.30 છે. જો કે, વર્ણનના આધારે, જો JRE 2 કે તેથી ઓછું વપરાયું હોય તો CVE સ્ટ્રટ્સ 1.7 ના કોઈપણ સંસ્કરણ માટે માન્ય છે. દેખીતી રીતે તેઓએ અહીં અમને ફરીથી વીમો આપવાનું નક્કી કર્યું, પરંતુ તે વધુ ખોટું લાગે છે

-
CVE-2018-1327
CVE-2018-1327
હાઇ
સાચું

CVE-2017-5638
CVE-2017-5638
CVE-2017-5638
હાઇ
સાચું
Equifax હેકર્સે 2017માં એ જ નબળાઈનો ઉપયોગ કર્યો હતો

CVE-2017-12611
CVE-2017-12611
-
હાઇ
સાચું

CVE-2018-11776
CVE-2018-11776
CVE-2018-11776
હાઇ
સાચું

સ્ટ્રટ્સ-ટેગલિબ:1.3.8
-
CVE-2012-0394
-
મધ્યમ
ખોટું
સ્ટ્રટ્સ2-કોર માટે

-
CVE-2013-2115
-
હાઇ
ખોટું
સ્ટ્રટ્સ2-કોર માટે

-
CVE-2014-0114
-
હાઇ
ખોટું
કોમન્સ-બીનટીલ્સ માટે

-
CVE-2015-0899
-
હાઇ
ખોટું
ટેગલિબ પર લાગુ પડતું નથી

-
CVE-2015-2992
-
મધ્યમ
ખોટું
સ્ટ્રટ્સ2-કોરનો ઉલ્લેખ કરે છે

-
CVE-2016-1181
-
હાઇ
ખોટું
ટેગલિબ પર લાગુ પડતું નથી

-
CVE-2016-1182
-
હાઇ
ખોટું
ટેગલિબ પર લાગુ પડતું નથી

સ્ટ્રટ્સ-ટાઈલ્સ-1.3.8
-
CVE-2012-0394
-
મધ્યમ
ખોટું
સ્ટ્રટ્સ2-કોર માટે

-
CVE-2013-2115
-
હાઇ
ખોટું
સ્ટ્રટ્સ2-કોર માટે

-
CVE-2014-0114
-
હાઇ
ખોટું
કોમન્સ-બીનટીલ્સ હેઠળ

-
CVE-2015-0899
-
હાઇ
ખોટું
ટાઇલ્સ પર લાગુ પડતું નથી

-
CVE-2015-2992
-
મધ્યમ
ખોટું
સ્ટ્રટ્સ2-કોર માટે

-
CVE-2016-1181
-
હાઇ
ખોટું
ટેગલિબ પર લાગુ પડતું નથી

-
CVE-2016-1182
-
હાઇ
ખોટું
ટેગલિબ પર લાગુ પડતું નથી

સોર્સ: www.habr.com