Google OSV-Scanner प्रकाशित करते, एक अवलंबित्व-जागरूक असुरक्षा स्कॅनर

कोडशी निगडित अवलंबित्वांची संपूर्ण शृंखला विचारात घेऊन, कोड आणि ऍप्लिकेशन्समधील असुरक्षितता तपासण्यासाठी Google ने OSV-Scanner टूलकिट सादर केले आहे. OSV-स्कॅनर तुम्हाला अवलंबित्व म्हणून वापरल्या जाणार्‍या लायब्ररीतील समस्यांमुळे अनुप्रयोग असुरक्षित होतो अशा परिस्थिती ओळखण्याची परवानगी देतो. या प्रकरणात, असुरक्षित लायब्ररी अप्रत्यक्षपणे वापरली जाऊ शकते, म्हणजे. दुसर्‍या अवलंबनातून बोलावले जाईल. प्रोजेक्ट कोड Go मध्ये लिहिलेला आहे आणि Apache 2.0 लायसन्स अंतर्गत वितरित केला आहे.

OSV-स्कॅनर आपोआप डिरेक्टरी ट्री स्कॅन करू शकतो, गिट डिरेक्ट्रीच्या उपस्थितीद्वारे प्रोजेक्ट्स आणि ऍप्लिकेशन्स ओळखू शकतो (कमिट हॅशच्या विश्लेषणाद्वारे असुरक्षिततेची माहिती निश्चित केली जाते), SBOM फाइल्स (SPDX आणि CycloneDX फॉरमॅट्समधील सॉफ्टवेअर बिल ऑफ मटेरियल), मॅनिफेस्ट किंवा यार्न, एनपीएम, जीईएम, पीआयपी आणि कार्गो सारख्या फायली पॅकेज व्यवस्थापकांना लॉक करा. हे डेबियन रेपॉजिटरीजमधील पॅकेजेसमधून तयार केलेल्या डॉकर कंटेनर प्रतिमांची सामग्री स्कॅन करण्यास देखील समर्थन देते.

भेद्यतांविषयी माहिती OSV (ओपन सोर्स व्हल्नेरेबिलिटीज) डेटाबेसमधून घेतली जाते, ज्यात Crates.io (Rust), Go, Maven, NPM (JavaScript), NuGet (C#), पॅकेजिस्ट (PHP), PyPI मधील सुरक्षा समस्यांबद्दल माहिती समाविष्ट आहे. ( पायथन), रुबीजेम्स, अँड्रॉइड, डेबियन आणि अल्पाइन, तसेच लिनक्स कर्नलमधील भेद्यतेवरील डेटा आणि GitHub वर होस्ट केलेल्या प्रकल्पांमधील भेद्यतेच्या अहवालातील माहिती. OSV डेटाबेस समस्येच्या निराकरणाची स्थिती प्रतिबिंबित करतो, असुरक्षिततेचे स्वरूप आणि सुधारणेसह कमिट सूचित करतो, असुरक्षिततेमुळे प्रभावित आवृत्त्यांची श्रेणी, कोडसह प्रोजेक्ट रिपॉझिटरीशी लिंक्स आणि समस्येबद्दल सूचना. प्रदान केलेले API तुम्हाला कमिट आणि टॅगच्या स्तरावर भेद्यतेच्या प्रकटीकरणाचा मागोवा घेण्यास आणि व्युत्पन्न उत्पादनांच्या संवेदनशीलतेचे आणि समस्येवरील अवलंबित्वांचे विश्लेषण करण्यास अनुमती देते.

स्त्रोत: opennet.ru