ഗൂഗിൾ OSV-സ്കാനർ പ്രസിദ്ധീകരിക്കുന്നു, ഒരു ഡിപൻഡൻസി-അവയർ വൾനറബിലിറ്റി സ്കാനർ

കോഡിലെയും ആപ്ലിക്കേഷനുകളിലെയും പാച്ച് ചെയ്യാത്ത കേടുപാടുകൾ പരിശോധിക്കുന്നതിനായി, കോഡുമായി ബന്ധപ്പെട്ട ഡിപൻഡൻസികളുടെ മുഴുവൻ ശൃംഖലയും കണക്കിലെടുത്ത് Google OSV-Scanner ടൂൾകിറ്റ് അവതരിപ്പിച്ചു. ഒരു ഡിപൻഡൻസിയായി ഉപയോഗിക്കുന്ന ലൈബ്രറികളിലൊന്നിലെ പ്രശ്നങ്ങൾ കാരണം ഒരു ആപ്ലിക്കേഷൻ ദുർബലമാകുന്ന സാഹചര്യങ്ങൾ തിരിച്ചറിയാൻ OSV-സ്കാനർ നിങ്ങളെ അനുവദിക്കുന്നു. ഈ സാഹചര്യത്തിൽ, ദുർബലമായ ലൈബ്രറി പരോക്ഷമായി ഉപയോഗിക്കാം, അതായത്. മറ്റൊരു ആശ്രിതത്വത്തിലൂടെ വിളിക്കപ്പെടും. പ്രോജക്റ്റ് കോഡ് Go- ൽ എഴുതുകയും Apache 2.0 ലൈസൻസിന് കീഴിൽ വിതരണം ചെയ്യുകയും ചെയ്യുന്നു.

OSV-സ്കാനറിന് ഒരു ഡയറക്ടറി ട്രീ സ്വയമേവ ആവർത്തിച്ച് സ്കാൻ ചെയ്യാൻ കഴിയും, Git ഡയറക്ടറികളുടെ സാന്നിധ്യം (കമ്മിറ്റ് ഹാഷുകൾ വിശകലനം ചെയ്താണ് ദുർബലതാ വിവരങ്ങൾ നിർണ്ണയിക്കുന്നത്), SBOM ഫയലുകൾ (SPDX, CycloneDX ഫോർമാറ്റുകളിലെ സോഫ്റ്റ്‌വെയർ ബിൽ ഓഫ് മെറ്റീരിയൽ), Yarn, NPM, GEM, PIP, Cargo തുടങ്ങിയ പാക്കേജ് മാനേജർമാരിൽ നിന്നുള്ള ഫയലുകൾ മാനിഫെസ്റ്റ് ചെയ്യുകയോ ലോക്ക് ചെയ്യുകയോ ചെയ്യുന്നു. റിപ്പോസിറ്ററികളിലെ പാക്കേജുകളിൽ നിന്ന് നിർമ്മിച്ച ഡോക്കർ കണ്ടെയ്നർ ഇമേജുകളുടെ പേലോഡ് സ്കാൻ ചെയ്യുന്നതിനെയും ഇത് പിന്തുണയ്ക്കുന്നു. Debian.

അപകടസാധ്യതാ വിവരങ്ങൾ OSV (ഓപ്പൺ സോഴ്‌സ് വൾനറബിലിറ്റീസ്) ഡാറ്റാബേസിൽ നിന്നാണ് എടുത്തത്, അത് ഇനിപ്പറയുന്ന റിപ്പോസിറ്ററികളിലെ സുരക്ഷാ പ്രശ്നങ്ങളെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഉൾക്കൊള്ളുന്നു: Crate.io (റസ്റ്റ്), ഗോ, മാവെൻ, NPM (ജാവാസ്ക്രിപ്റ്റ്), ന്യൂജെറ്റ് (C#), പാക്കജിസ്റ്റ് (PHP), PyPI (പൈത്തൺ), RubyGems, Android, Debian ആൽപൈൻ, അതുപോലെ കേർണൽ ദുർബലതാ ഡാറ്റയും Linux GitHub-ൽ ഹോസ്റ്റ് ചെയ്‌തിരിക്കുന്ന പ്രോജക്റ്റുകളിലെ ദുർബലതാ റിപ്പോർട്ടുകളിൽ നിന്നുള്ള വിവരങ്ങളും. OSV ഡാറ്റാബേസ് പ്രശ്‌നത്തിന്റെ പരിഹാര നില, ദുർബലത അവതരിപ്പിച്ചതും പരിഹരിച്ചതുമായ കമ്മിറ്റുകൾ, ബാധിച്ച പതിപ്പുകളുടെ ശ്രേണി, പ്രോജക്റ്റിന്റെ കോഡ് ശേഖരണത്തിലേക്കുള്ള ലിങ്കുകൾ, പ്രശ്‌ന അറിയിപ്പ് എന്നിവ പ്രതിഫലിപ്പിക്കുന്നു. നൽകിയിരിക്കുന്ന API, കമ്മിറ്റ്, ടാഗ് തലത്തിൽ ദുർബലതാ കണ്ടെത്തലിനും ഡെറിവേറ്റീവ് ഉൽപ്പന്നങ്ങളിലും ആശ്രിതത്വങ്ങളിലും ദുർബലതയുടെ സ്വാധീനം വിശകലനം ചെയ്യുന്നതിനും അനുവദിക്കുന്നു.

അവലംബം: opennet.ru