Google rilascia uno strumento di sviluppo per elencare le vulnerabilità
Pubblicato da Angelo Domeneghini in Privacy - Sicurezza - BUG · 14 Dicembre 2022
Tags: #google, #sicurezza
Tags: #google, #sicurezza
Google ha lanciato OSV Scanner, un nuovo strumento che consente agli sviluppatori di cercare vulnerabilità nelle dipendenze software open source utilizzate nel loro progetto.
[image:image-0]
Lo scanner estrae i dati da OSV.dev, il database delle vulnerabilità distribuito per il codice open source che Google ha rilasciato nel febbraio 2021, per offrire informazioni pertinenti sui problemi di sicurezza noti che interessano il codice open source.
Problemi con il codice open source
Gli sviluppatori di software open source in genere si affidano nei loro progetti a una serie di strumenti, librerie e componenti già disponibili, il che in genere porta a uno sviluppo più rapido di soluzioni più complesse.
Questi elementi costitutivi sono spesso cruciali per la funzionalità di base di un programma, fornendogli capacità specializzate che altrimenti dovrebbero essere scritte da zero.
Come qualsiasi codice, questi componenti open source non sono impermeabili alle vulnerabilità della sicurezza. Quando vengono incorporati in altri progetti software, anche questi difetti si trasmettono.
Per i programmi di grandi dimensioni che utilizzano molte dipendenze, tenere traccia dei problemi di sicurezza che sorgono con ogni build e valutare il potenziale impatto sul programma stesso diventa un'attività complessa.
Se si considera che molte di queste dipendenze hanno dipendenze proprie, il numero di pacchetti che devono essere valutati dal punto di vista della sicurezza rende il rilevamento delle vulnerabilità un'impresa difficile.
Scanner OSV
È qui che entra in gioco il nuovo scanner OSV di Google, che abbina automaticamente il codice in tutte le dipendenze per un determinato progetto software, comprese le dipendenze transitive, e notifica agli sviluppatori quando è necessario un aggiornamento della sicurezza.
"L'OSV-Scanner genera informazioni sulle vulnerabilità affidabili e di alta qualità che colmano il divario tra l'elenco di pacchetti di uno sviluppatore e le informazioni nei database delle vulnerabilità", si legge nell'annuncio.
Lo scanner utilizza avvisi distribuiti apertamente da fonti autorevoli e affidabili seguendo lo schema OSV per la valutazione delle vulnerabilità nella versione del pacchetto installato.
Attualmente, il servizio OSV.dev supporta 16 principali ecosistemi di codifica, tra cui Linux Kernel, Android, Debian, Alpine, PyPI, npm, OSS-Fuzz e Maven.
È il più grande database di vulnerabilità open source al mondo, contando 23.000 avvisi solo nel 2022.
Google afferma che il prossimo passo per OSV Scanner è migliorare il supporto delle vulnerabilità C/C++, affrontando un ecosistema software molto impegnativo e integrare azioni CI autonome per consentire una facile pianificazione delle scansioni.
In futuro, OSV Scanner consiglierà anche il bump di versione minimo suggerito che risolve il difetto di sicurezza identificato.
OSV Scanner può essere utilizzato gratuitamente da tutti senza restrizioni ed è disponibile per il download tramite GitHub o il sito Web osv.dev.