Google, 종속성 인식 취약점 스캐너 OSV-Scanner 출시

Google은 코드와 관련된 전체 종속성 체인을 고려하여 코드 및 애플리케이션의 패치되지 않은 취약점을 확인하기 위해 OSV-Scanner 툴킷을 도입했습니다. OSV-Scanner를 사용하면 종속성으로 사용되는 라이브러리 중 하나의 문제로 인해 응용 프로그램이 취약해지는 상황을 식별할 수 있습니다. 이 경우 취약한 라이브러리를 간접적으로 사용할 수 있습니다. 다른 종속성을 통해 호출됩니다. 프로젝트 코드는 Go로 작성되었으며 Apache 2.0 라이선스에 따라 배포됩니다.

OSV-Scanner는 디렉토리 트리를 자동으로 재귀적으로 스캔하여 git 디렉토리(취약성에 대한 정보는 커밋 해시 분석을 통해 결정됨), SBOM 파일(SPDX 및 CycloneDX 형식의 소프트웨어 BOM), 매니페스트 또는 Yarn, NPM, GEM, PIP 및 Cargo와 같은 파일 패키지 관리자를 잠급니다. 또한 Debian 리포지토리의 패키지로 빌드된 Docker 컨테이너 이미지의 콘텐츠 검색을 지원합니다.

취약점에 대한 정보는 Crates.io(Rust), Go, Maven, NPM(JavaScript), NuGet(C#), Packagist(PHP), PyPI의 보안 문제에 대한 정보를 다루는 OSV(오픈 소스 취약점) 데이터베이스에서 가져옵니다. (Python), RubyGems, Android, Debian 및 Alpine은 물론 Linux 커널의 취약점에 대한 데이터와 GitHub에서 호스팅되는 프로젝트의 취약점 보고서 정보도 제공됩니다. OSV 데이터베이스는 문제 수정 상태를 반영하고, 취약점의 출현 및 수정이 포함된 커밋, 취약점의 영향을 받는 버전 범위, 코드가 포함된 프로젝트 저장소에 대한 링크, 문제에 대한 알림을 나타냅니다. 제공된 API를 사용하면 커밋 및 태그 수준에서 취약점의 발현을 추적하고 파생 제품의 민감성과 문제에 대한 종속성을 분석할 수 있습니다.

출처 : opennet.ru