Hvordan sjekker du om en versjon har kjente sårbarheter?

Alle kjøremiljøer, servere og biblioteker du er avhengig av, får sikkerhetsoppdateringer over tid, og versjonen du bruker, kan være oppført som berørt i et publisert sikkerhetsvarsel. Sikkerhetsvarsler finnes i mange databaser, blant annet GitHub, sikkerhetsteamene for Python og Go, RustSec, Bitnami og andre. OSV.dev, prosjektet for sårbarheter i åpen kildekode som drives av Google, samler dem i ett format og viser hvilke sikkerhetsvarsler som gjelder for en bestemt versjon.

Verktøybeskrivelse

Velg økosystem, skriv inn navn og nøyaktig versjon, og trykk på Sjekk versjon. For et populært kjøremiljø eller en populær pakke, for eksempel Node.js, PHP, PostgreSQL, lodash eller Django, kan du heller velge den under Hurtigvalg. Da fylles økosystem og navn ut for deg. Du får alle kjente sårbarheter som berører den versjonen, sortert fra mest til minst alvorlig, med:

  • ID-en, som lenker til siden på osv.dev, og CVE-ID-en hvis den har en
  • Alvorlighetsgraden som er angitt i sikkerhetsvarselet: Kritisk, Høy, Middels eller Lav
  • Versjonen der sårbarheten er rettet: den laveste rettede versjonen som er nyere enn din, slik det står i sikkerhetsvarselet
  • Et kort sammendrag

Når flere databaser beskriver samme problem, for eksempel et sikkerhetsvarsel fra GitHub og en kopi av det i Python-databasen, vises de som én sårbarhet.

Sjekken kjøres på serveren vår, som spør det offentlige API-et til OSV.dev. Bare økosystem, navn og versjon sendes.

AI-assistenter som er koblet til MCP-serveren Rapid Tool Set, kan kjøre den samme sjekken med vulnerable_version_checker.

Støttede økosystemer

Økosystem Omfatter Eksempler på navn
Kjøremiljøer og servere, Bitnami Kjøremiljøer, web- og databaseservere, apper node (Node.js), php, python, nginx, mariadb
npm JavaScript-pakker lodash, express
PyPI Python-pakker django, requests
Packagist PHP-pakker installert med Composer laravel/framework, symfony/http-kernel
Maven Java-pakker, angitt som gruppe:artefakt org.apache.logging.log4j:log4j-core
NuGet .NET-pakker Newtonsoft.Json
Go Go-moduler, angitt med modulbane github.com/gin-gonic/gin
crates.io Rust-pakker tokio
RubyGems Ruby-pakker actionpack, nokogiri
Pub Dart- og Flutter-pakker http
Hex Erlang- og Elixir-pakker phoenix, plug
CRAN R-pakker commonmark

For kjøremiljøer og servere brukes navnene fra Bitnami: node for Node.js (nodejs fungerer også), postgresql og apache for Apache HTTP Server.

Begrensninger

  • Versjonen må skrives nøyaktig slik økosystemet angir den, for eksempel 18.0.0 eller 4.17.15. Et feilstavet navn eller en versjon som ikke finnes, gir ingen treff. Det samme gjelder en versjon uten kjente sårbarheter.
  • Bare publiserte sikkerhetsvarsler er kjent. En versjon uten oppførte sårbarheter kan fortsatt ha svakheter som ingen har rapportert ennå.
  • Noen sikkerhetsvarsler har ingen angitt alvorlighetsgrad. De vises som Ikke vurdert.
  • Versjonen der sårbarheten er rettet, hentes fra versjonsintervallene i sikkerhetsvarselet. En nyere versjon kan ha egne sårbarheter, så sjekk også versjonen du oppgraderer til.