Miten tarkistat, onko versiossa tunnettuja haavoittuvuuksia?

Jokainen käyttämäsi suoritusympäristö, palvelin ja kirjasto saa ajan mittaan tietoturvapäivityksiä, ja käyttämäsi versio saattaa olla sellainen, jonka julkaistu tietoturvatiedote ilmoittaa haavoittuvaksi. Tietoturvatiedotteita on useissa tietokannoissa: GitHubissa, Pythonin ja Gon tietoturvatiimeillä, RustSecissä, Bitnamissa ja muualla. OSV.dev, Googlen ylläpitämä Open Source Vulnerabilities -projekti, kokoaa ne yhteen muotoon ja kertoo, mitkä tietoturvatiedotteet koskevat tiettyä versiota.

Työkalun kuvaus

Valitse ekosysteemi, anna nimi ja tarkka versio ja paina Tarkista versio. Suositun suoritusympäristön tai paketin, kuten Node.js:n, PHP:n, PostgreSQL:n, lodashin tai Djangon, voit valita sen sijaan Pikavalinnasta. Tällöin ekosysteemi ja nimi täytetään puolestasi. Saat luettelon kaikista tunnetuista haavoittuvuuksista, jotka koskevat kyseistä versiota, vakavimmat ensin. Luettelossa näkyvät:

  • Haavoittuvuuden tunnus, josta on linkki sen sivulle osoitteessa osv.dev, sekä CVE-tunnus, jos sellainen on
  • Vakavuusluokitus tietoturvatiedotteen mukaan: kriittinen, korkea, keskitasoinen tai matala
  • Versio, jossa haavoittuvuus on korjattu: pienin omaa versiotasi suurempi korjattu versio tietoturvatiedotteen mukaan
  • Lyhyt yhteenveto

Jos useat tietokannat kuvaavat samaa ongelmaa, esimerkiksi GitHubin tietoturvatiedote ja sen kopio Pythonin tietokannassa, ne näytetään yhtenä haavoittuvuutena.

Tarkistus suoritetaan palvelimellamme, joka kysyy tietoja OSV.dev-sivuston julkisesta API:sta. Vain ekosysteemi, nimi ja versio lähetetään.

Rapid Tool Set MCP -palvelimeen yhdistetyt tekoälyavustajat voivat suorittaa saman tarkistuksen komennolla vulnerable_version_checker.

Tuetut ekosysteemit

Ekosysteemi Sisältö Esimerkkejä nimistä
Suoritusympäristöt ja palvelimet (Bitnami) Suoritusympäristöt, verkko- ja tietokantapalvelimet, sovellukset node (Node.js), php, python, nginx, mariadb
npm JavaScript-paketit lodash, express
PyPI Python-paketit django, requests
Packagist Composerilla asennetut PHP-paketit laravel/framework, symfony/http-kernel
Maven Java-paketit muodossa ryhmä:artefakti org.apache.logging.log4j:log4j-core
NuGet .NET-paketit Newtonsoft.Json
Go Go-moduulit moduulipolun mukaan github.com/gin-gonic/gin
crates.io Rust-paketit tokio
RubyGems Ruby-paketit actionpack, nokogiri
Pub Dart- ja Flutter-paketit http
Hex Erlang- ja Elixir-paketit phoenix, plug
CRAN R-paketit commonmark

Suoritusympäristöjen ja palvelinten kohdalla käytetään Bitnamin nimiä: node tarkoittaa Node.js:ää (nodejs toimii myös), postgresql PostgreSQL:ää ja apache Apache HTTP Serveriä.

Rajoitukset

  • Versio on kirjoitettava täsmälleen ekosysteemin käyttämässä muodossa, esimerkiksi 18.0.0 tai 4.17.15. Väärin kirjoitettu nimi tai versio, jota ei ole olemassa, ei tuota tuloksia, aivan kuten versiokaan, jossa ei ole tunnettuja haavoittuvuuksia.
  • Tunnetaan vain julkaistut tietoturvatiedotteet. Versiossa, jolle ei ole merkitty haavoittuvuuksia, voi silti olla puutteita, joista kukaan ei ole vielä ilmoittanut.
  • Joissakin tietoturvatiedotteissa ei ole vakavuusluokitusta; niiden kohdalla näytetään Ei luokiteltu.
  • Korjattu versio luetaan tietoturvatiedotteen versioväleistä. Uudemmassa versiossa voi olla omia haavoittuvuuksia, joten tarkista myös versio, johon päivität.