Google выпустила сканер OSV для поиска уязвимых зависимостей в проектах

Google выпустила сканер OSV для поиска уязвимых зависимостей в проектах

Google выпустила сканер OSV для поиска уязвимых зависимостей в проектах

Компания Google анонсировала выпуск OSV-Scanner — бесплатного инструмента автоматизированного поиска уязвимостей, релевантных для конкретного проекта. Новинка позволяет выявить все зависимости, сопоставить список с информацией об известных проблемах, занесенной в базу данных OSV, и определить необходимость патчинга или обновления.

Написанный на Go сканер предоставляет пользовательский интерфейс для доступа к OSV (сводной базе уязвимостей в opensource-проектах, пополняемой Google) и совместим с Linux, macOS и Windows. Для создания списка зависимостей достаточно задать просмотр каталога проекта; можно также вручную вводить путь ко всем файлам манифеста.

Запущенная в прошлом году база уязвимостей OSV изначально включала скромный набор данных, собранных в рамках проекта OSS-Fuzz. В настоящее время платформа OSV.dev поддерживает 16 экосистем, в том числе популярные языки программирования, Linux-дистрибутивы (Debian и Alpine), Android и Linux Kernel.

Количество бюллетеней по безопасности, осевших в репозитории, превысило 38 тысяч (год назад в OSV числилось 15 тыс. записей). Половина зафиксированных уязвимостей приходится на долю Linux и Debian.

 

Сайт OSV.dev был полностью перестроен и теперь может похвастаться более удобным UI и расширенной информацией по каждой уязвимости. В дальнейшем Google планирует улучшить поддержку экосистемы C/C++ (сейчас она бедно представлена) и доработать OSV-Scanner, превратив его в полноценный инструмент управления уязвимостями.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

США обвиняют 22-летнего математика в краже криптовалюты на $65 млн

Федеральная прокуратура Бруклина предъявила обвинение канадскому аспиранту Андеану Медьедовичу в краже криптовалюты на общую сумму 65 миллионов долларов с платформ KyberSwap и Indexed Finance.

Обвинение утверждает, что Медьедович воспользовался своими математическими способностями для вызова сбоев в работе платформ, что позволило ему вывести средства.

Как сообщает The New York Times, он также занимался манипулированием курсом криптовалют, используя уязвимости в коде, который определяет их стоимость. По данным издания, его мошенническая деятельность началась в 2021 году, когда он еще был аспирантом Университета Ватерлоо. Однако вскоре его действия привлекли внимание правоохранительных органов, и он скрылся.

Сам Медьедович отрицает причастность к преступлениям, однако в интервью Bloomberg признал, что использовал уязвимости смарт-контрактов для влияния на курсы криптовалют.

Исполняющий обязанности федерального прокурора Бруклина Джон Дарем заявил, что преступники, злоупотребляющие новыми технологиями, понесут ответственность, независимо от их местонахождения. В настоящий момент Медьедович остается на свободе, несмотря на отсутствие адвоката.

По версии следствия, его атаки на KyberSwap начались еще в ноябре 2023 года. Более того, он якобы предлагал вернуть половину украденных средств в обмен на определенные рычаги влияния на платформу.

«Хакеры могут казаться привлекательными фигурами в поп-культуре. Некоторые восхищаются их навыками. Но в конечном счете они крадут чужие деньги, а значит, нарушают закон», — прокомментировал ситуацию помощник директора нью-йоркского отделения ФБР Джеймс Деннехи.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru