Googles neuer Schwachstellen-Scanner verbessert Container- und Maven-Analysen

MÜNCHEN (IT BOLTWISE) – Google hat die zweite Version seines Open-Source-Schwachstellen-Scanners veröffentlicht, die nun tiefere Einblicke in Container-Image-Layer und Maven-Projekte bietet. Diese Weiterentwicklung zielt darauf ab, die Sicherheit von Open-Source-Projekten durch umfassendere Analysen und neue Funktionen zu verbessern.

Google hat kürzlich die zweite Version seines Open-Source-Vulnerability-Scanners vorgestellt, die sich durch erweiterte Analysefähigkeiten auszeichnet. Diese neue Version ermöglicht es, Container-Image-Layer und Maven-Projekte detaillierter zu untersuchen, was einen bedeutenden Fortschritt in der Sicherheitsanalyse von Open-Source-Projekten darstellt. Der Scanner kann nun nicht nur die Abhängigkeiten in Container-Images analysieren, sondern auch spezifische Informationen darüber liefern, in welchem Layer ein Paket hinzugefügt wurde und welche Befehle ausgeführt wurden.

Besonders hervorzuheben ist die Integration der Analyse-Bibliothek OSV-Scalibr, die es ermöglicht, verzweigte Projekt- und Abhängigkeitsstrukturen in Repositories und Containern zu untersuchen. Diese Funktionalität ist entscheidend, um die Komplexität moderner Softwareprojekte zu bewältigen und potenzielle Sicherheitslücken frühzeitig zu identifizieren. Der Scanner unterstützt dabei eine Vielzahl von Betriebssystemen und Programmiersprachen, darunter Alpine OS, Debian, Ubuntu sowie Go, Java, Node.js und Python.

Ein weiteres Highlight der neuen Version ist die Unterstützung von Java-Projekten über Maven. Der Scanner kann nun Schwachstellen in Maven-Projekten identifizieren und bietet eine geführte Bereinigung für Abhängigkeiten in Manifest- und Lock-Dateien. Diese Funktion ist seit April 2024 für npm-Pakete verfügbar und wird nun auch für Java-Projekte angeboten. Anwenderinnen und Anwender sollten jedoch beachten, dass die Maven-Bereinigung derzeit nur nicht-interaktiv funktioniert, weshalb ein Backup der Dateien empfohlen wird.

Die interaktiven Ergebnisse im neuen HTML-Format bieten eine benutzerfreundliche Möglichkeit, die Scan-Ergebnisse zu filtern und zu analysieren. Nutzer können beispielsweise nach Schweregrad, Container-Layer oder Paket-IDs filtern und erhalten ausführliche Hinweise zur Bereinigung der identifizierten Probleme. Diese Funktionalität erleichtert es Entwicklern, gezielt auf Sicherheitslücken zu reagieren und ihre Projekte sicherer zu gestalten.

Die Open-Source-Sicherheits-Tools von Google umfassen die drei Komponenten OSV-Scanner, OSV-Scalibr und OSV.dev. Letzteres ist die Schwachstellendatenbank, von der die beiden anderen Tools die Metadaten beziehen. Mit der aktuellen Version wird der Scanner zur offiziellen Tool-Oberfläche der Bibliothek, auch wenn noch nicht alle Funktionen, wie der Secrets-Scan, vollständig integriert sind. Google plant jedoch, diese Funktionen in zukünftigen Versionen zu erweitern und die Analyse der kompletten Dateisystemstruktur von Container-Layern zu ermöglichen.

Diese Entwicklungen zeigen, dass Google bestrebt ist, die Sicherheit von Open-Source-Projekten kontinuierlich zu verbessern und Entwicklern leistungsfähige Werkzeuge zur Verfügung zu stellen. Die Integration neuer Formate und Sprachen sowie die geplante Erweiterung der Analysefähigkeiten unterstreichen die Bedeutung, die Google der Sicherheit in der Softwareentwicklung beimisst.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

Plaud Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

Plaud NotePin Sprachrekorder, KI-Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

89,99 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!