O kit de ferramentas da linguagem de programação Go inclui a capacidade de rastrear vulnerabilidades em bibliotecas. Para verificar seus projetos quanto à presença de módulos com vulnerabilidades não corrigidas em suas dependências, é proposto o utilitário “govulncheck”, que analisa a base de código do projeto e exibe um relatório sobre o acesso às funções vulneráveis. Além disso, foi preparado o pacote vulncheck, que fornece uma API para incorporar verificações em vários projetos e utilitários.
A verificação é realizada usando um banco de dados de vulnerabilidades especialmente criado, supervisionado pela equipe Go Security. O banco de dados contém informações sobre vulnerabilidades conhecidas em módulos distribuídos publicamente na linguagem Go. Os dados são coletados de diversas fontes, incluindo relatórios CVE e GHSA (GitHub Advisory Database), bem como informações enviadas pelos mantenedores dos pacotes. Para solicitar dados do banco de dados, são oferecidas biblioteca, API Web e interface web.
Fonte: opennet.ru