A Google apresentou a ferramenta OSV-Scanner para verificar a presença de vulnerabilidades não corrigidas em códigos e aplicativos, levando em conta toda a cadeia de dependências relacionadas ao código. O OSV-Scanner permite identificar situações em que um aplicativo se torna vulnerável devido a problemas em uma das bibliotecas usadas como dependência. A biblioteca vulnerável pode ser utilizada indiretamente, ou seja, chamada através de outra dependência. O código do projeto é escrito na linguagem Go e é distribuído sob a licença Apache 2.0.
O OSV-Scanner pode escanear automaticamente de forma recursiva a árvore de diretórios, identificando projetos e aplicativos pela presença de diretórios git (as informações sobre vulnerabilidades são determinadas pela análise de hashes de commits), arquivos SBOM (Software Bill Of Materials nos formatos SPDX e CycloneDX), manifestos ou arquivos de bloqueio de gerenciadores de pacotes como Yarn, NPM, GEM, PIP e Cargo. Também é suportada a análise de imagens de contêineres Docker construídas a partir de pacotes de repositórios Debian.
As informações sobre vulnerabilidades são obtidas do banco de dados OSV (Open Source Vulnerabilities), que abrange dados sobre problemas de segurança em repositórios como Crates.io (Rust), Go, Maven, NPM (JavaScript), NuGet (C#), Packagist (PHP), PyPI (Python), RubyGems, Android, Debian e Alpine, além de dados sobre vulnerabilidades no kernel Linux e informações de relatórios sobre vulnerabilidades em projetos hospedados no GitHub. O banco OSV reflete o status de correção do problema, indica commits com a ocorrência e a correção da vulnerabilidade, a faixa de versões afetadas, links para o repositório do projeto com o código e notificações sobre o problema. A API fornecida permite rastrear a manifestação da vulnerabilidade em nível de commits e tags e analisar a suscetibilidade de produtos derivados e dependências ao problema.
Fonte: opennet.ru
