Hur kontrollerar du om en version har kända sårbarheter?

Alla körmiljöer, servrar och bibliotek som du använder får säkerhetsfixar med tiden, och versionen du kör kan vara en version som anges som påverkad i en publicerad säkerhetsavisering. Säkerhetsaviseringar finns i många olika databaser: GitHubs, Python- och Go-säkerhetsteamens, RustSec, Bitnamis och andras. OSV.dev, projektet Open Source Vulnerabilities som drivs av Google, samlar dem i ett gemensamt format och visar vilka säkerhetsaviseringar som berör en exakt version.

Beskrivning av verktyget

Välj Ekosystem, ange Namn och den exakta Versionen och klicka på Kontrollera version. För en populär körmiljö eller ett populärt paket, till exempel Node.js, PHP, PostgreSQL, lodash eller Django, kan du i stället välja det under Snabbval, så fylls Ekosystem och Namn i automatiskt. Du får en lista över alla kända sårbarheter som berör versionen, sorterade med de allvarligaste först. Varje sårbarhet visas med:

  • Dess ID, med en länk till sidan på osv.dev, och dess CVE-ID om det finns ett
  • Allvarlighetsgrad enligt säkerhetsaviseringen: Kritisk, Hög, Medel eller Låg
  • Versionen där felet är åtgärdat: den lägsta åtgärdade versionen som är högre än din, enligt säkerhetsaviseringen
  • En kort sammanfattning

Om flera databaser beskriver samma problem, till exempel en GitHub-säkerhetsavisering och dess kopia i Python-databasen, visas de som en och samma sårbarhet.

Kontrollen körs på vår server, som skickar en förfrågan till OSV.dev:s offentliga API. Endast ekosystem, namn och version skickas.

AI-assistenter som är anslutna till Rapid Tool Set MCP-servern kan köra samma kontroll med vulnerable_version_checker.

Ekosystem som stöds

Ekosystem Omfattning Namnexempel
Körmiljöer och servrar, Bitnami Körmiljöer, webb- och databasservrar, appar node (Node.js), php, python, nginx, mariadb
npm JavaScript-paket lodash, express
PyPI Python-paket django, requests
Packagist PHP-paket installerade med Composer laravel/framework, symfony/http-kernel
Maven Java-paket, i formatet grupp:artefakt org.apache.logging.log4j:log4j-core
NuGet .NET-paket Newtonsoft.Json
Go Go-moduler, efter modulsökväg github.com/gin-gonic/gin
crates.io Rust-crates tokio
RubyGems Ruby-paket actionpack, nokogiri
Pub Dart- och Flutter-paket http
Hex Erlang- och Elixir-paket phoenix, plug
CRAN R-paket commonmark

För körmiljöer och servrar används Bitnamis namn: node för Node.js (nodejs fungerar också), postgresql och apache för Apache HTTP Server.

Begränsningar

  • Versionen måste skrivas exakt så som ekosystemet anger den, till exempel 18.0.0 eller 4.17.15. Ett felstavat namn eller en version som inte finns ger inga resultat, precis som en version utan kända sårbarheter.
  • Endast publicerade säkerhetsaviseringar är kända. En version utan listade sårbarheter kan fortfarande ha brister som ingen har rapporterat ännu.
  • Vissa säkerhetsaviseringar saknar allvarlighetsgrad och visas då som Ej bedömd.
  • Versionen där felet är åtgärdat hämtas från säkerhetsaviseringens versionsintervall. En nyare version kan ha egna sårbarheter, så kontrollera även versionen du uppgraderar till.