Google har introducerat verktyget OSV-Scanner för att kontrollera om det finns ofixade sÄrbarheter i kod och applikationer, som arbetar med hÀnsyn till hela kedjan av relaterade kodberoenden. OSV-Scanner gör det möjligt att identifiera situationer dÀr en applikation blir sÄrbar pÄ grund av problem i ett av de bibliotek som anvÀnds som beroenden. Det sÄrbara biblioteket kan anvÀndas indirekt, det vill sÀga anropas genom ett annat beroende. Projektkoden Àr skriven i Go och distribueras under Apache 2.0-licensen.
OSV-Scanner kan automatiskt rekursivt skanna katalogtrÀdet, identifiera projekt och applikationer genom nÀrvaron av git-kataloger (information om sÄrbarheter bestÀms genom analys av commit-hashar), SBOM-filer (Software Bill Of Materials i formaten SPDX och CycloneDX), manifest eller lÄsfiler frÄn paketchefer som Yarn, NPM, GEM, PIP och Cargo. Dessutom stöds skanning av innehÄllet i dockercontainrar, byggda pÄ grundval av paket frÄn Debian-repositorier.
Information om sÄrbarheter hÀmtas frÄn OSV-databasen (Open Source Vulnerabilities), som omfattar uppgifter om sÀkerhetsproblem i repository frÄn Crates.io (Rust), Go, Maven, NPM (JavaScript), NuGet (C#), Packagist (PHP), PyPI (Python), RubyGems, Android, Debian och Alpine, samt data om sÄrbarheter i Linux-kÀrnan och uppgifter frÄn sÄrbarhetsrapporter i projekt som Àr vÀrd pÄ GitHub. OSV-databasen Äterspeglar status för ÄtgÀrder av problemet, anger commits med införande och ÄtgÀrdande av sÄrbarheten, spannet av sÄrbara versioner, lÀnkar till projektets kodrepository och meddelande om problemet. Den tillhandahÄllna API:n gör det möjligt att spÄra sÄrbarhetens manifestation pÄ commit- och taggnivÄ samt analysera sÄrbarheten hos avledda produkter och beroenden.
KĂ€lla: opennet.ru
