Google ने OSV-स्कैनर, एक निर्भरता-जागरूक भेद्यता स्कैनर प्रकाशित किया है

Google ने कोड से जुड़ी निर्भरता की पूरी श्रृंखला को ध्यान में रखते हुए, कोड और एप्लिकेशन में अप्रकाशित कमजोरियों की जांच करने के लिए ओएसवी-स्कैनर टूलकिट पेश किया है। ओएसवी-स्कैनर आपको उन स्थितियों की पहचान करने की अनुमति देता है जहां एक एप्लिकेशन निर्भरता के रूप में उपयोग की जाने वाली लाइब्रेरी में समस्याओं के कारण असुरक्षित हो जाता है। इस मामले में, असुरक्षित पुस्तकालय का उपयोग अप्रत्यक्ष रूप से किया जा सकता है, अर्थात। किसी अन्य निर्भरता के माध्यम से बुलाया जाएगा। प्रोजेक्ट कोड गो में लिखा गया है और अपाचे 2.0 लाइसेंस के तहत वितरित किया गया है।

ओएसवी-स्कैनर स्वचालित रूप से एक निर्देशिका ट्री को पुनरावर्ती रूप से स्कैन कर सकता है, गिट निर्देशिकाओं की उपस्थिति से परियोजनाओं और अनुप्रयोगों की पहचान कर सकता है (कमिट हैश के विश्लेषण के माध्यम से कमजोरियों के बारे में जानकारी निर्धारित की जाती है), एसबीओएम फाइलें (एसपीडीएक्स और साइक्लोनडीएक्स प्रारूपों में सामग्री का सॉफ्टवेयर बिल), मैनिफ़ेस्ट या यार्न, एनपीएम, जीईएम, पीआईपी और कार्गो जैसी फाइलों के पैकेज प्रबंधकों को लॉक करें। यह डेबियन रिपॉजिटरी के पैकेजों से निर्मित डॉकर कंटेनर छवियों की सामग्री को स्कैन करने का भी समर्थन करता है।

कमजोरियों के बारे में जानकारी OSV (ओपन सोर्स वल्नरेबिलिटीज) डेटाबेस से ली गई है, जो Crate.io (रस्ट), गो, मेवेन, NPM (जावास्क्रिप्ट), NuGet (C#), पैकागिस्ट (PHP), PyPI में सुरक्षा समस्याओं के बारे में जानकारी शामिल करती है। (पायथन), रूबीजेम्स, एंड्रॉइड, डेबियन और अल्पाइन, साथ ही लिनक्स कर्नेल में कमजोरियों पर डेटा और GitHub पर होस्ट की गई परियोजनाओं में भेद्यता रिपोर्ट से जानकारी। ओएसवी डेटाबेस समस्या समाधान की स्थिति को दर्शाता है, भेद्यता की उपस्थिति और सुधार के साथ प्रतिबद्धताओं को इंगित करता है, भेद्यता से प्रभावित संस्करणों की सीमा, कोड के साथ प्रोजेक्ट रिपॉजिटरी के लिंक और समस्या के बारे में एक अधिसूचना। प्रदान की गई एपीआई आपको कमिट और टैग के स्तर पर कमजोरियों की अभिव्यक्ति को ट्रैक करने और समस्या के लिए व्युत्पन्न उत्पादों और निर्भरता की संवेदनशीलता का विश्लेषण करने की अनुमति देती है।

स्रोत: opennet.ru