Hoe controleert u of een versie bekende kwetsbaarheden heeft?

Elke runtime, server en bibliotheek waarvan u afhankelijk bent, krijgt na verloop van tijd beveiligingsupdates. De versie die u gebruikt, kan voorkomen in een gepubliceerd beveiligingsadvies waarin die versie als kwetsbaar wordt aangemerkt. Beveiligingsadviezen staan verspreid over veel databases, waaronder die van GitHub, de beveiligingsteams van Python en Go, RustSec en Bitnami. OSV.dev, het door Google beheerde project Open Source Vulnerabilities, verzamelt ze in één indeling en laat voor een exacte versie zien welke beveiligingsadviezen daarop van toepassing zijn.

Beschrijving van de tool

Kies het ecosysteem, vul de naam en de exacte versie in en klik op Versie controleren. Voor een populaire runtime of een populair pakket, zoals Node.js, PHP, PostgreSQL, lodash of Django, kunt u het ook kiezen bij Snelle keuze. Het ecosysteem en de naam worden dan automatisch ingevuld. U krijgt een overzicht van alle bekende kwetsbaarheden die van toepassing zijn op die versie, van ernstig naar minder ernstig, met:

  • De ID, met een link naar de bijbehorende pagina op osv.dev, en de CVE-ID als die er is
  • De ernst waarmee het beveiligingsadvies de kwetsbaarheid beoordeelt: Kritiek, Hoog, Gemiddeld of Laag
  • De versie waarin de kwetsbaarheid is verholpen: de laagste versie hoger dan uw versie waarin de kwetsbaarheid is verholpen, volgens het beveiligingsadvies
  • Een korte samenvatting

Als meerdere databases hetzelfde probleem beschrijven, bijvoorbeeld een beveiligingsadvies van GitHub en een kopie daarvan in de Python-database, worden ze als één kwetsbaarheid weergegeven.

De controle wordt uitgevoerd op onze server, die de openbare API van OSV.dev raadpleegt. Alleen het ecosysteem, de naam en de versie worden verzonden.

AI-assistenten die zijn verbonden met de MCP-server van Rapid Tool Set kunnen dezelfde controle uitvoeren met vulnerable_version_checker.

Ondersteunde ecosystemen

Ecosysteem Wat het omvat Voorbeelden van namen
Runtimes en servers, Bitnami Runtimes, web- en databaseservers, apps node (Node.js), php, python, nginx, mariadb
npm JavaScript-pakketten lodash, express
PyPI Python-pakketten django, requests
Packagist PHP-pakketten geïnstalleerd met Composer laravel/framework, symfony/http-kernel
Maven Java-pakketten, als group:artifact org.apache.logging.log4j:log4j-core
NuGet .NET-pakketten Newtonsoft.Json
Go Go-modules, op basis van het modulepad github.com/gin-gonic/gin
crates.io Rust-crates tokio
RubyGems Ruby-gems actionpack, nokogiri
Pub Dart- en Flutter-pakketten http
Hex Erlang- en Elixir-pakketten phoenix, plug
CRAN R-pakketten commonmark

Voor runtimes en servers worden de namen van Bitnami gebruikt: node voor Node.js (nodejs werkt ook), postgresql en apache voor de Apache HTTP Server.

Beperkingen

  • De versie moet exact worden geschreven zoals het ecosysteem die opgeeft, bijvoorbeeld 18.0.0 of 4.17.15. Bij een verkeerd gespelde naam of een niet-bestaande versie wordt niets gevonden, net als bij een versie zonder bekende kwetsbaarheden.
  • Alleen gepubliceerde beveiligingsadviezen zijn bekend. Een versie waarvoor geen adviezen zijn vermeld, kan nog steeds kwetsbaarheden bevatten die niemand heeft gemeld.
  • Sommige beveiligingsadviezen hebben geen ernstbeoordeling; deze worden weergegeven als Niet beoordeeld.
  • De versie waarin de kwetsbaarheid is verholpen, wordt afgeleid uit de versiebereiken in het beveiligingsadvies. Een nieuwere versie kan zelf kwetsbaarheden bevatten, dus controleer ook de versie waarnaar u bijwerkt.