A Google bemutatta az OSV-Scanner eszközkészletét, amely a kód és alkalmazások nem javított sebezhetőségeinek ellenőrzésére szolgál, figyelembe véve a kódhoz kapcsolódó függőségek teljes láncolatát. Az OSV-Scanner képes azonosítani azokat a helyzeteket, amikor egy alkalmazás sebezhetővé válik egy használt könyvtár problémái miatt. A sebezhető könyvtár közvetett módon, egy másik függőségen keresztül is használatban lehet. A projekt kódja Go nyelven íródott, és az Apache 2.0 licenc alatt terjesztik.
Az OSV-Scanner automatikusan és rekurzívan beolvashatja a könyvtárfa fájlszerkezetét, azonosítva a projekteket és alkalmazásokat a git könyvtárak jelenléte alapján (a sebezhetőségekről a commit hash-ek elemzésével szerzett információkat használva), SBOM fájlok (Software Bill Of Material az SPDX és a CycloneDX formátumban), manifesto- vagy lock fájlok csomagkezelők, például Yarn, NPM, GEM, PIP és Cargo esetében. Továbbá támogatja a Docker konténer képek tartalmának szkennelését, amelyeket Debian tárolókból származó csomagok alapján készítettek.
A sebezhetőségekről szóló információk az OSV (Open Source Vulnerabilities) adatbázisból származnak, amely biztonsági problémákról tartalmaz adatokat a Crates.io (Rust), Go, Maven, NPM (JavaScript), NuGet (C#), Packagist (PHP), PyPI (Python), RubyGems, Android, Debian és Alpine tárolókból, valamint a Linux kernel sebezhetőségeiről és a GitHub-on elhelyezett projektek sebezhetőségi jelentéseiről. Az OSV adatbázisban a problémák javítási állapota található, a sebezhetőségek keletkezésével és javításával kapcsolatos commitok, a sebezhető verziók tartománya, a kód tárolójára mutató linkek és a probléma értesítése található. A biztosított API lehetővé teszi a sebezhetőség megjelenésének nyomon követését commitok és tagok szintjén, valamint a származtatott termékek és függőségek problémakörére vonatkozó kitettség elemzését.
Forrás: opennet.ru
