Google brengt OSV-tool uit om opensourcesoftware op kwetsbaarheden te scannen

Google heeft een tool uitgebracht waarmee ontwikkelaars van opensourcesoftware sneller kwetsbaarheden in hun code kunnen ontdekken. De tool heet OSV-scanner en is gebaseerd op Go.

OSV staat voor Open Source Vulnerability. OSV-scanner maakt gebruik van de OSV-database die Google vorig jaar heeft opgezet. Dat is een opensourcedatabase waarin informatie wordt verzameld over bekende kwetsbaarheden. Google noemt OSV-scanner 'een officieel ondersteunde frontend' voor die database. Api-instructies staan op de OSV-website.

De tool die het bedrijf nu uitbrengt, is bedoeld voor ontwikkelaars van opensourcesoftware die gebruikmaken van externe library's en dependency's. Door OSV-scanner te gebruiken worden al die dependency's gescand op bekende kwetsbaarheden die in de database zijn opgenomen. De scanner gebruikt onder andere manifests en commit-hashes om te kijken welke dependency's worden gebruikt. Die kwetsbaarheden krijgen daarna ook een controle op de OpenSSF Scorecard-database.

Google zegt dat de tool gebaseerd is op Go. De broncode ervan is open source en beschikbaar op GitHub. In de toekomst wil het bedrijf continuous integration actions implementeren in de tool, zodat scans bijvoorbeeld kunnen worden ingepland. Ook wordt de ondersteuning voor scans van C- en C++-code uitgebreid en komt er ondersteuning voor VEX-rapportages. Wanneer dat gebeurt, is nog niet bekend.

Reacties (9)

[DeEchteKwartel]

Ik heb hem net gecheckt. Beetje jammer dat de exit code van de tool 0 is, ook bij vurnabilities, dus voor CI nu nog semi onhandig, maar voor de rest lekker rechttoe rechtaan.

Het exit code probleem is trouwens al gefixt, maar nog niet gereleased

[Sypher]

De Pull-Requuest met de change is gemerged dus die zal vast binnenkort beschikbaar zijn.

[correcto]

Dit klinkt heel erg hetzelfde als de owasp dependency check. Weet iemand toevallig wat deze tool anders/beter maakt?

[TheVivaldi]

In dit geval is dat totaal geen probleem, want de broncode is, zoals je in het artikel ook kunt lezen, beschikbaar op GitHub. Áls Google dus besluit om er ooit mee te stoppen, dan kan iemand anders/een ander bedrijf de code eenvoudig forken.

Uiteraard moet er dan wél iemand zijn dat wíl doen, maar er is in ieder geval een grotere kans op een doorstart dan als Google de broncode voor zichzelf had gehouden.

[Reactie gewijzigd door TheVivaldi op 24 juli 2024 05:40]

[CAPSLOCK2000]

In dit geval is dat totaal geen probleem, want de broncode is, zoals je in het artikel ook kunt lezen, beschikbaar op GitHub. Áls Google dus besluit om er ooit mee te stoppen, dan kan iemand anders/een ander bedrijf de code eenvoudig forken.

Een interessante vraag is hoe het zit met dit soort client-server applicaties. Die client kan niks zonder de achterliggende server en database en dan bedoel ik zowel de database-applicatie als de data die er in staat.

Dat is overigens niks bijzonders of specifiek voor deze applicatie. Hetzelfde geldt voor zo'n beetje alles met een netwerk-component. Tegenwoordig is dat 90% van de software dus begint het wat belangrijker te worden om daar ook over na te denken.

Volgens de letter is die client helemaal open en vrij maar je kan je afvragen of het doel wordt bereikt. Als het om het GPL ging zou je kunnen beargumenteren van niet. Deze applicatie gebruikt echter de Apache Licentie. Apache, de webserver, heeft natuurlijk ook een netwerk-component. Het is dus duidelijk niks nieuws. Maar de apache licentie is uiteindelijk bedacht voor een server, niet voor een client.

Gene klacht ofzo, meer een rustig moment van bewustwording

[!GN!T!ON]

De backend code, en de data in de database zijn ook opensource. https://github.com/google/osv.dev

Daarnaast hebben ze het schema / datamodel van de DB ook opensource gemaakt en is de data distributed opgezet tussen meerdere partijen.

Dus dan nog, kan iemand dit zo oppakken en er verder mee gaan, mocht Google de stekker eruit trekken.

Wat verder de Apache License vandoen heeft met de Apache webserver weet ik niet, Apache Foundation heeft heel veel projecten en Apache License 2.0 is niet specifiek voor de Apache webserver gemaakt, maar bedoeld voor een scala aan projecten zowel binnen de foundation zelf als daarbuiten.

[Reactie gewijzigd door !GN!T!ON op 24 juli 2024 05:40]

[Ventieldopje]

Afhankelijk van de licentie heb je daar met OSS niet zo veel last van mits het voldoende gebruikt wordt.

[chimpie]

Apache 2 https://github.com/google/osv-scanner/blob/main/LICENSE