Google lanza segunda versión de su escáner de vulnerabilidades para proyectos de código abierto
Google presenta una actualización significativa de su escáner de vulnerabilidades, mejorando la seguridad en proyectos de código abierto y contenedores complejos.
Google ha lanzado la segunda versión de su escáner de vulnerabilidades para proyectos de código abierto, mejorando su capacidad para realizar análisis profundos en proyectos complejos y contenedores. Esta nueva versión combina el OSV-Scanner, presentado en 2022, con la biblioteca de análisis OSV-Scalibr, lo que permite investigar detalladamente las estructuras de proyectos y sus dependencias en repositorios y contenedores.
Una de las características más destacadas del escáner es su capacidad para evaluar las capas de las imágenes de contenedor. Esto incluye la identificación de en qué capa se añadió un paquete, la naturaleza del sistema operativo base, y los comandos ejecutados. Esta función es compatible con imágenes de Alpine OS, Debian y Ubuntu, así como con código en lenguajes como Go, Java, Node.js y Python.
La nueva versión del escáner también amplía su capacidad para detectar vulnerabilidades en nuevos formatos de dependencias de proyectos y contenedores, incluyendo Node-Modules, Python-Wheels, Java-Uber-Jars, y más. Además, ahora incluye una función de limpieza guiada para Java, que analiza dependencias en archivos manifest y lock, siendo esto un avance significativo desde su inauguración en abril de 2024 con paquetes npm.
Uno de los aspectos más innovadores es el formato HTML interactivo para los resultados del escaneo, que permite a los usuarios filtrar la información por gravedad, capas de contenedor o IDs de paquetes, facilitando así una mejor accesibilidad a la información. Este avance se complementa con el acceso a indicaciones detalladas para la resolución de problemas de seguridad detectados.
El equipo de Google ha anunciado planes para añadir más funciones en versiones futuras, incluyendo la capacidad de analizar la estructura completa del sistema de archivos de las capas de contenedor y el soporte para otros formatos y lenguajes. Con esta actualización, Google reafirma su compromiso con la seguridad en el desarrollo de software de código abierto.