IT-Security: Google bietet Datenbank zu Lücken in Open-Source-Software
Mit den Open Source Vulnerabilities(öffnet im neuen Fenster) (OSV) hat Google eine Datenbank zu Schwachstellen in Open Source Software gestartet. Dort sollen sich präzise Daten darüber finden, wann Sicherheitslücken entdeckt beziehungsweise veröffentlicht und anschließend auch behoben wurden. Entwicklungsteams sollen so ein Instrument an die Hand bekommen, mit dem sie prüfen können, ob ihre Software von Sicherheitsproblemen betroffen ist, wie Google in seinem Open-Source-Blog(öffnet im neuen Fenster) schreibt.
Die Datenbasis zum Start stammt dabei zunächst von Googles Test-Werkzeug OSS-Fuzz, später sollen weitere Daten aus verschiedenen Quellen hinzukommen, wie etwa den Paketquellen für Go oder NPM und PyPi. Laut Google beinhaltet OSV derzeit etwa 25.000 Schwachstellen aus über 380 kritischen Open-Source-Projekten. Die meisten davon sind in C und C++ geschrieben.
Eine ähnliche Idee, Betroffene direkt über mögliche Sicherheitslücken in ihren Abhängigkeiten zu informieren, bietet auch der Code-Hoster Github in seinem eigenen Dienst an. Der Anbieter zeigt mit Hilfe des sogenannten Dependency Graph Nutzern bekannte Sicherheitslücken in ihren Abhängigkeiten an. Zusätzlich dazu schlägt Github auch direkt mögliche Lösungen zum Schließen der entsprechenden Lücken vor. Das geht aber natürlich nur in Github selbst.
In der OSV-Datenbank von Google sollen sich die Informationen stattdessen über eine öffentliche API abrufen lassen. Dazu reicht eine Abfrage an OSV, die eine Paketversion oder einen Commit-Hashwert enthält. Zur Nutzung braucht es außerdem einen API-Key von Googles Cloud Console. Die Metadaten der Schwachstelle werden dann in maschinenlesbarem JSON-Format zurückgegeben. Das Projekt ist unter der Apache-Lizenz auf Github(öffnet im neuen Fenster) zu finden. Es gibt auch eine Mailingliste(öffnet im neuen Fenster).
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.