No pacote de ferramentas para a linguagem de programação Go, foi implementada a capacidade de monitorar vulnerabilidades em bibliotecas. Para verificar seus projetos quanto à presença de dependências com vulnerabilidades não corrigidas, foi proposta a utilidade "govulncheck", que analisa a base de código do projeto e fornece um relatório sobre acessos a funções vulneráveis. Adicionalmente, foi preparado o pacote vulncheck, que oferece uma API para integrar a verificação em diversos projetos e utilidades.
A verificação é realizada com base em uma base de dados de vulnerabilidades especialmente criada, sob a supervisão da Go Security Team. No banco de dados são colocadas informações sobre vulnerabilidades conhecidas em módulos publicamente distribuídos na linguagem Go. Os dados são coletados de diferentes fontes, incluindo relatórios CVE e GHSA (GitHub Advisory Database), além de informações enviadas pelos mantenedores dos pacotes. Para consultar os dados do banco, é oferecida uma biblioteca, uma API Web e uma interface web.
Fonte: opennet.ru
