Open Source-sårbarhedsindeks, der indeholder 140.000 sårbarheder lanceret af Sonatype

Sonatype. Business Wire

Sonatype fungerer efter principperne om bedre, sikrere og hurtigere levering med software-supply chain automatisering. Virksomheden erhvervede OSS-indekset sidste år og har nu lanceret en automatiseret og redesignet Open Source Software Index der giver udviklere information om OSS afhængigheder og sårbarheder for mere informeret produktudvikling. Som forklaret af virksomhedens medstifter og CTO, Brian Fox, styrer denne seneste udgivelse virksomhedens bestræbelser på at give udviklere grundlæggende ressourcer for at sikre, at deres produkter er vært for stærke sikkerhedssystemer, der kan modstå kendte sårbarheder, som open source-platformen kan vær meget tilgivende i denne sag. Denne nye lancering lover en renere grænseflade såvel som let at forstå og grundigt verificerede oplysninger.

Sonatype's OSS-indeks stammer fra offentligt udsendte og vurderede sårbarheder, hvor der er vært for 2,6 millioner pakker og detaljer om 140.000 kendte open source-sårbarheder. Det understøtter 7 sprog ved lanceringen, med forbehold for support mere snart. Disse Sprog er: Bower (JavaScript), PHP, Maven / Gradle (Java), npm (Java Script), NuGet, Puthon, RubyGems og RPM. Indekset kører på et bestemt format. Det viser navneområdet, der er et beskrivende navnepræfiks, navnet på komponenten eller pakken, dens version, andre typespecifikke kvalifikatorer, såsom OS eller distro, og undervej inden for en komponent i forhold til pakkens rod. Package URls er skrevet i 'type: namespace / name @ version? Qualifiers # subpath' syntaks, og pakke urls med pkg-ordning er skrevet i 'pkg: type / namespace / name @ version? Qualifiers # subpath' syntaks. Sådanne detaljer holdes konsistente i hele OSS-indekset for at sikre, at kvaliteten af ​​de præsenterede data opretholdes.

Indekset letter også nem implementering med sine mange open source-værktøjer, hvoraf det mest fremtrædende er REST API. Andet integrationer i indekset såsom Maven Enforcer plugin og OWASP Dependency Check gør databasen til et alsidigt informationsværktøj om OSS sårbarheder. Ud over dette tillader indekset værktøjskædeintegration med dets oprindelige udvidelser og applikationer. Den har en Audit.js-integration, der reviderer npm-projekter, og indekset trækker også fra Sonatypes eget The Central Repository. Bortset fra de leverede platformsspecifikke revisionsværktøjer er DevAudit, et open source-tværgående platform multifunktions sikkerhedsrevisionsværktøj, også tilgængeligt for udviklere at bruge.