Google a annonc\u00e9 mardi la disponibilit\u00e9 open source de Scanner OSV<\/strong>un scanner qui vise \u00e0 offrir un acc\u00e8s facile aux informations de vuln\u00e9rabilit\u00e9 sur divers projets.<\/p>\n La Outil bas\u00e9 sur Go<\/a>aliment\u00e9 par les vuln\u00e9rabilit\u00e9s Open Source (OSV<\/a>), est con\u00e7ue pour connecter “la liste des d\u00e9pendances d’un projet avec les vuln\u00e9rabilit\u00e9s qui les affectent”, a d\u00e9clar\u00e9 l’ing\u00e9nieur logiciel de Google, Rex Pan, dans un article partag\u00e9 avec The Hacker News.<\/p>\n “L’OSV-Scanner g\u00e9n\u00e8re des informations de vuln\u00e9rabilit\u00e9 fiables et de haute qualit\u00e9 qui comblent l’\u00e9cart entre la liste de packages d’un d\u00e9veloppeur et les informations des bases de donn\u00e9es de vuln\u00e9rabilit\u00e9s”, a ajout\u00e9 Pan.<\/p>\n L’id\u00e9e est d’identifier toutes les d\u00e9pendances transitives d’un projet et de mettre en \u00e9vidence les vuln\u00e9rabilit\u00e9s pertinentes \u00e0 l’aide de donn\u00e9es extraites de la base de donn\u00e9es OSV.dev.<\/p>\n Google a en outre d\u00e9clar\u00e9 que la plate-forme open source prend en charge 16 \u00e9cosyst\u00e8mes, comptant tous les principaux langages, les distributions Linux (Debian et Alpine), ainsi qu’Android, le noyau Linux et OSS-Fuzz<\/a>.<\/p>\n Le r\u00e9sultat de cette expansion est qu’OSV.dev est un r\u00e9f\u00e9rentiel de plus de 38 000 avis, contre 15 000 alertes de s\u00e9curit\u00e9 il y a un an, avec Linux (27,4 %), Debian (23,2 %), PyPI (9,5 %), Alpine (7,9 %), et npm (7,1\u00a0%) occupant les cinq premi\u00e8res places.<\/p>\n En ce qui concerne les prochaines \u00e9tapes, le g\u00e9ant de l’Internet a not\u00e9 qu’il s’effor\u00e7ait d’int\u00e9grer la prise en charge des failles C\/C++ en cr\u00e9ant une “base de donn\u00e9es de haute qualit\u00e9” qui implique l’ajout de “m\u00e9tadonn\u00e9es pr\u00e9cises au niveau de la validation aux CVE”.<\/p>\n OSV-Scanner arrive pr\u00e8s de deux mois apr\u00e8s que Google a lanc\u00e9 GUAC – abr\u00e9viation de Graph for Understanding Artifact Composition – pour compl\u00e9ter les niveaux de la cha\u00eene d’approvisionnement pour les artefacts logiciels (SLSA<\/a> ou “salsa”) dans le cadre de ses efforts pour renforcer la s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement des logiciels.<\/p>\n La semaine derni\u00e8re, Google a \u00e9galement publi\u00e9 un nouveau “Perspectives sur la s\u00e9curit\u00e9<\/a>” rapport appelant les organisations \u00e0 d\u00e9velopper et \u00e0 d\u00e9ployer un cadre SLSA commun pour emp\u00eacher la falsification, am\u00e9liorer l’int\u00e9grit\u00e9<\/a>et s\u00e9curisez les packages contre les menaces potentielles.<\/p>\n D’autres recommandations formul\u00e9es par la soci\u00e9t\u00e9 incluent la prise en charge de responsabilit\u00e9s suppl\u00e9mentaires en mati\u00e8re de s\u00e9curit\u00e9 open source et l’adoption d’une approche plus holistique pour faire face aux risques tels que ceux pr\u00e9sent\u00e9s par la vuln\u00e9rabilit\u00e9 Log4j et l’incident SolarWinds ces derni\u00e8res ann\u00e9es.<\/p>\n “Les attaques de la cha\u00eene d’approvisionnement logicielle n\u00e9cessitent g\u00e9n\u00e9ralement une solide aptitude technique et un engagement \u00e0 long terme pour r\u00e9ussir”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. “Les acteurs sophistiqu\u00e9s sont plus susceptibles d’avoir \u00e0 la fois l’intention et la capacit\u00e9 de mener ces types d’attaques.”<\/p>\n “La plupart des organisations sont vuln\u00e9rables aux attaques de la cha\u00eene d’approvisionnement logicielle parce que les attaquants prennent le temps de cibler des fournisseurs tiers avec des connexions fiables aux r\u00e9seaux de leurs clients. Ils utilisent ensuite cette confiance pour s’enfoncer plus profond\u00e9ment dans les r\u00e9seaux de leurs cibles ultimes.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1670949871_285_De-graves-attaques-auraient-pu-etre-mises-en-scene-via.png\")
<\/a><\/center><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1670959045_310_Google-lance-la-plus-grande-base-de-donnees-distribuee-de.png\")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1670959045_482_Google-lance-la-plus-grande-base-de-donnees-distribuee-de.png\")
<\/div>\n