Google ले OSV-Scanner, एक निर्भरता-सचेत जोखिम स्क्यानर प्रकाशित गर्दछ

गुगलले कोड र एप्लिकेसनहरूमा अनप्याच नभएका कमजोरीहरू जाँच गर्न OSV-Scanner टूलकिट प्रस्तुत गरेको छ, कोडसँग सम्बन्धित निर्भरताहरूको सम्पूर्ण श्रृंखलालाई ध्यानमा राख्दै। OSV-Scanner ले तपाईंलाई परिस्थितिहरू पहिचान गर्न अनुमति दिन्छ जहाँ एउटा अनुप्रयोग निर्भरताको रूपमा प्रयोग गरिएको पुस्तकालयहरूमा समस्याहरूको कारण कमजोर हुन्छ। यस अवस्थामा, कमजोर पुस्तकालय अप्रत्यक्ष रूपमा प्रयोग गर्न सकिन्छ, अर्थात्। अर्को निर्भरता मार्फत बोलाइन्छ। परियोजना कोड Go मा लेखिएको छ र Apache 2.0 लाइसेन्स अन्तर्गत वितरित छ।

OSV-Scanner ले स्वचालित रूपमा डाइरेक्टरी ट्री स्क्यान गर्न सक्छ, परियोजनाहरू र अनुप्रयोगहरू git डाइरेक्टरीहरूको उपस्थितिद्वारा पहिचान गर्न सक्छ (कमिट ह्यासहरूको विश्लेषणद्वारा कमजोरीहरूको बारेमा जानकारी निर्धारण गरिन्छ), SBOM फाइलहरू (SPDX र CycloneDX ढाँचाहरूमा सामग्रीको सफ्टवेयर बिल), manifests वा लक फाइलहरू प्याकेज प्रबन्धकहरू जस्तै यार्न, NPM, GEM, PIP र कार्गो। यसले डेबियन भण्डारहरूबाट प्याकेजहरूबाट निर्मित डकर कन्टेनर छविहरूको सामग्री स्क्यान गर्न पनि समर्थन गर्दछ।

कमजोरीहरूको बारेमा जानकारी OSV (खुला स्रोत भेद्यताहरू) डेटाबेसबाट लिइएको हो, जसले Crates.io (Rust), Go, Maven, NPM (JavaScript), NuGet (C#), प्याकेजिस्ट (PHP), PyPI मा सुरक्षा समस्याहरूको बारेमा जानकारी समावेश गर्दछ। (पाइथन), रुबीजेम्स, एन्ड्रोइड, डेबियन र अल्पाइन, साथै लिनक्स कर्नेलमा कमजोरीहरूको डेटा र GitHub मा होस्ट गरिएका परियोजनाहरूमा भेद्यता रिपोर्टहरूबाट जानकारी। OSV डाटाबेसले समस्या समाधानको स्थितिलाई प्रतिबिम्बित गर्दछ, कमजोरीको उपस्थिति र सुधार, जोखिमबाट प्रभावित संस्करणहरूको दायरा, कोडको साथ परियोजना भण्डारमा लिङ्कहरू, र समस्याको बारेमा सूचनालाई संकेत गर्दछ। प्रदान गरिएको API ले तपाईंलाई कमिट र ट्यागहरूको स्तरमा कमजोरीहरूको अभिव्यक्ति ट्र्याक गर्न र समस्यामा व्युत्पन्न उत्पादनहरू र निर्भरताहरूको संवेदनशीलता विश्लेषण गर्न अनुमति दिन्छ।

स्रोत: opennet.ru