Google သည် မှီခိုမှု-သတိပြုမိသော အားနည်းချက်စကင်နာဖြစ်သည့် OSV-Scanner ကို ထုတ်ဝေသည်။

Google သည် ကုဒ်နှင့်ဆက်စပ်နေသော မှီခိုမှုဆိုင်ရာ ကွင်းဆက်တစ်ခုလုံးနှင့် လုပ်ဆောင်ရန်အတွက် ကုဒ်နှင့် အပလီကေးရှင်းများတွင် မပြင်ဆင်ရသေးသော အားနည်းချက်များကို စစ်ဆေးရန်အတွက် OSV-Scanner ကိရိယာအစုံကို မိတ်ဆက်ပေးခဲ့သည်။ OSV-Scanner သည် အပလီကေးရှင်းတစ်ခုအား မှီခိုမှုအဖြစ်အသုံးပြုသည့် စာကြည့်တိုက်များထဲမှ ပြဿနာများကြောင့် အားနည်းချက်ဖြစ်လာသည့်အခါ အခြေအနေများကို ခွဲခြားသတ်မှတ်နိုင်စေပါသည်။ ဤကိစ္စတွင်၊ အားနည်းချက်ရှိသော စာကြည့်တိုက်ကို အခြားမှီခိုမှုမှတစ်ဆင့် ခေါ်ဝေါ်သည့် သွယ်ဝိုက်သောနည်းဖြင့် အသုံးပြုနိုင်သည်။ ပရောဂျက်ကုဒ်ကို Go တွင်ရေးထားပြီး Apache 2.0 လိုင်စင်အောက်တွင် ဖြန့်ဝေထားသည်။

OSV-Scanner သည် directory tree တစ်ခုကို အလိုအလျောက် ပြန်လည်စကင်ဖတ်နိုင်ပြီး Git directory များ (အားနည်းချက်အချက်အလက်များကို commit hashes များကို ခွဲခြမ်းစိတ်ဖြာခြင်းဖြင့် ဆုံးဖြတ်သည်)၊ SBOM ဖိုင်များ (SPDX နှင့် CycloneDX formats ရှိ Software Bill of Material) ရှိနေခြင်းအပေါ် အခြေခံ၍ ပရောဂျက်များနှင့် အပလီကေးရှင်းများကို ခွဲခြားသတ်မှတ်နိုင်ပြီး Yarn၊ NPM၊ GEM၊ PIP နှင့် Cargo ကဲ့သို့သော package manager များမှ manifests သို့မဟုတ် lock ဖိုင်များကို ပြုလုပ်နိုင်သည်။ ၎င်းသည် repositories ရှိ package များမှ တည်ဆောက်ထားသော Docker container image များ၏ payload ကို စကင်ဖတ်ရန်လည်း ပံ့ပိုးပေးသည်။ Debian.

အားနည်းချက်ဆိုင်ရာ အချက်အလက်များကို OSV (Open Source Vulnerabilities) ဒေတာဘေ့စ်မှ ရယူထားပြီး၊ ၎င်းဒေတာဘေ့စ်တွင် အောက်ပါ repositories များရှိ လုံခြုံရေးပြဿနာများနှင့်ပတ်သက်သည့် အချက်အလက်များကို ဖော်ပြထားသည်- Crate.io (Rust), Go, Maven, NPM (JavaScript), NuGet (C#), Packagist (PHP), PyPI (Python), RubyGems, Android, Debian နှင့် Alpine အပြင် kernel vulnerability data များ Linux နှင့် GitHub တွင် host လုပ်ထားသော ပရောဂျက်များရှိ vulnerability အစီရင်ခံစာများမှ အချက်အလက်များ။ OSV database သည် ပြဿနာ၏ပြင်ဆင်မှုအခြေအနေ၊ vulnerability ကို မိတ်ဆက်ပေးပြီး ပြင်ဆင်ခဲ့သော commit များ၊ ထိခိုက်ခံရသော version အမျိုးမျိုး၊ ပရောဂျက်၏ code repository သို့ link များနှင့် ပြဿနာအကြောင်းကြားစာတို့ကို ထင်ဟပ်စေသည်။ ပေးထားသော API သည် commit နှင့် tag အဆင့်တွင် vulnerability ထောက်လှမ်းခြင်းနှင့် derivative product များနှင့် dependencies များအပေါ် vulnerability ၏သက်ရောက်မှုကို ခွဲခြမ်းစိတ်ဖြာခြင်းကို ခွင့်ပြုသည်။

source: opennet.ru