Spoločnosť Google predstavila nástroj OSV-Scanner na kontrolu prítomnosti neopraviteľných zraniteľností v kóde a aplikáciách, ktorý pracuje so všetkými závislosťami súvisiacimi s kódom. OSV-Scanner umožňuje identifikovať situácie, keď aplikácia sa stáva zraniteľnou v dôsledku problémov v jednej z knižníc, ktoré sa používajú ako závislosti. Zraniteľná knižnica sa môže používať nepriamo, t.j. môže byť vyvolaná cez inú závislosť. Kód projektu je napísaný v jazyku Go a šíri sa pod licenciou Apache 2.0.
OSV-Scanner môže automaticky rekurzívne skenovať strom adresárov, určovať projekty a aplikácie na základe prítomnosti git-adresárov (informácie o zraniteľnostiach sú určované analýzou hashov commitov), súborov SBOM (Software Bill Of Material vo formátoch SPDX a CycloneDX), manifestov alebo lock-súborov balíkových manažérov, ako sú Yarn, NPM, GEM, PIP a Cargo. Podporuje sa aj skenovanie obsahu obrazov docker-kontajnerov, zostavených na základe balíkov z repozitárov Debian.
Informácie o zraniteľnostiach sú získavané z databázy OSV (Open Source Vulnerabilities), ktorá pokrýva informácie o bezpečnostných problémoch v repozitároch Crates.io (Rust), Go, Maven, NPM (JavaScript), NuGet (C#), Packagist (PHP), PyPI (Python), RubyGems, Android, Debian a Alpine, ako aj údaje o zraniteľnostiach v jadre Linuxu a informácie z raportov o zraniteľnostiach v projektoch umiestnených na GitHub. V databáze OSV je reflektovaný status opravy problému, uvedené sú commity s vznikom a opravou zraniteľnosti, rozsah zraniteľných verzií, odkazy na repozitár projektu s kódom a upozornenie na problém. Poskytované API umožňuje na úrovni commitov a tagov sledovať prejav zraniteľnosti a analyzovať podozrivosť na problémy odvodených produktov a závislostí.
Zdroj: opennet.ru
