Google 释出开源软件漏洞扫描工具 OSV-Scanner​

开源开发人员可在项目使用 OSV-Scanner，透过比对依赖项目和 OSV 漏洞资料库，找出项目的依赖项目中所存在的漏洞。

Google 推出免费工具 OSV-Scanner（https://github.com/google/osv-scanner），供开源开发人员可以更简单地存取和项目相关的漏洞资讯。

去年 Google 发布开源漏洞（Open Source Vulnerability）架构并且启动 OSV.dev 服务，完成第一个分散式开源漏洞数据库，官方解释，OSV 允许不同的开源生态系和漏洞资料库，能够以一种简单、精确且机器可读的格式发布和使用资讯。

而 OSV-Scanner 则是 OSV 资料库的下一步，这是由官方支援的前端，能够将项目的依赖项目列表，和影响项目的漏洞相关联。由于软件项目通常拥有大量的依赖项目，而每个依赖项目可能包含现有已知的漏洞，或是尚待发现的新漏洞，但因为依赖项目和版本太多，开发人员通常难以手动追踪，因此需要自动化来解决这项困难。

OSV-Scanner 会自动比对项目与其依赖项目和已知漏洞列表，并于存在修补程式或是更新时通知开发者，Google 提到，OSV-Scanner 能够生成可靠、高品质的漏洞资讯，以缩小开发人员软件套件列表和 OSV 资料库中的漏洞信息落差。

由于 OSV-Scanner 使用开源分散式 OSV.dev 数据库，因此官方提到，OSV-Scanner 与闭源数据库的扫瞄器相比更具优势，包括每个安全通报都是来自开放且权威的来源，所有人都可以提出改进建议，因此能够共同维护高品质资料库，而且OSV 格式以机器可读的格式，储存有关受影响的套件版本资讯，该格式能精确地对应到开发者的软件套件列表。

OSV-Scanner 会先分析清单、SBOM 并提交杂凑（hash）值，找到所有正在使用的传递（transitive）依赖项目，接著OSV-Scanner 会将该资讯和 OSV 数据库进行比对，以显示开发者项目相关的漏洞。同时 OSV-Scanner 还整合到 OpenSSF 计分卡漏洞检查，可将漏洞分析从项目的直接漏洞，扩及所有依赖项目的漏洞，代表采用 OpenSSF 计分卡的项目能够获得更全面的安全检查。

作者 | iThome 李建兴

翻译 | 刘天栋.Ted

编辑 | 张可芯

相关阅读 | Related Reading

开源码力圆桌文字稿

投身开源，需要持之以恒的热爱与贡献 —— Apache Spark Committer 姜逸坤

开源社简介

开源社成立于 2014 年，是由志愿贡献于开源事业的个人成员，依 “贡献、共识、共治” 原则所组成，始终维持厂商中立、公益、非营利的特点，是最早以 “开源治理、国际接轨、社区发展、开源项目” 为使命的开源社区联合体。开源社积极与支持开源的社区、企业以及政府相关单位紧密合作，以 “立足中国、贡献全球” 为愿景，旨在共创健康可持续发展的开源生态，推动中国开源社区成为全球开源体系的积极参与及贡献者。

2017 年，开源社转型为完全由个人成员组成，参照 ASF 等国际顶级开源基金会的治理模式运作。近八年来，链接了数万名开源人，集聚了上千名社区成员及志愿者、海内外数百位讲师，合作了近百家赞助、媒体、社区伙伴。