Google 推出新的開(kāi)源漏洞結(jié)構(gòu)
Google 宣布推出一個(gè)新的開(kāi)源漏洞結(jié)構(gòu)，以解決管理開(kāi)源漏洞的一些關(guān)鍵問(wèn)題。
- {
- "id": string,
- "modified": string,
- "published": string,
- "withdrawn": string,
- "aliases": [ string ],
- "related": [ string ],
- "package": {
- "ecosystem": string,
- "name": string,
- "purl": string,
- },
- "summary": string,
- "details": string,
- "affects": [ {
- "ranges": [ {
- "type": string,
- "repo": string,
- "introduced": string,
- "fixed": string
- } ],
- "versions": [ string ]
- } ],
- "references": [ {
- "type": string,
- "url": string
- } ],
- "ecosystem_specific": { see spec },
- "database_specific": { see spec },
- }
今年 2 月，Google 曾推出開(kāi)源漏洞 (OSV) 數(shù)據(jù)庫(kù)， 旨在幫助開(kāi)源項(xiàng)目的開(kāi)發(fā)人員和用戶(hù)應(yīng)對(duì)開(kāi)源項(xiàng)目漏洞和改進(jìn)漏洞分類(lèi)。 現(xiàn)在，Google 已經(jīng)把 OSV 擴(kuò)展到幾個(gè)關(guān)鍵的開(kāi)源生態(tài)系統(tǒng)中：Go、Rust、Python 和 DWF，并將這四個(gè)重要的漏洞數(shù)據(jù)庫(kù)聯(lián)合并聚合，為軟件開(kāi)發(fā)人員提供了一種更好的方式來(lái)跟蹤和修復(fù)影響他們的安全問(wèn)題。
同時(shí)，Google 表示由于各個(gè)生態(tài)系統(tǒng)和組織都使用自己的格式來(lái)描述漏洞，因此跨多個(gè)數(shù)據(jù)庫(kù)跟蹤漏洞的客戶(hù)端必須完全獨(dú)立地處理每個(gè)漏洞，在數(shù)據(jù)庫(kù)之間共享漏洞也很困難。對(duì)此，其推出了這個(gè)新的開(kāi)源漏洞結(jié)構(gòu)，該結(jié)構(gòu)有以下特點(diǎn)：
- 強(qiáng)制執(zhí)行與實(shí)際開(kāi)源包生態(tài)系統(tǒng)中使用的命名和版本控制方案精確匹配的版本規(guī)范。例如，將 CVE 等漏洞與包管理器中的包名稱(chēng)和版本集進(jìn)行匹配很難使用現(xiàn)有機(jī)制(例如 CPE)以自動(dòng)化方式進(jìn)行。
- 可用于描述任何開(kāi)源生態(tài)系統(tǒng)中的漏洞，而不需要依賴(lài)生態(tài)系統(tǒng)的邏輯來(lái)處理它們。
- 易用于自動(dòng)化系統(tǒng)和人類(lèi)使用。
Google 表示，其希望通過(guò)這個(gè)模式定義一種所有漏洞數(shù)據(jù)庫(kù)都可以導(dǎo)出的格式。統(tǒng)一格式意味著漏洞數(shù)據(jù)庫(kù)、開(kāi)源用戶(hù)和安全研究人員可以輕松共享工具并在所有開(kāi)源中使用漏洞。這意味著每個(gè)人都可以更全面地了解開(kāi)源中的漏洞，以及更輕松的自動(dòng)化帶來(lái)的更快檢測(cè)和修復(fù)時(shí)間。
目前，該結(jié)構(gòu)已經(jīng)經(jīng)歷了多次迭代，并且許多公共漏洞數(shù)據(jù)庫(kù)已經(jīng)在導(dǎo)出這種格式，將來(lái)還有更多的數(shù)據(jù)庫(kù)采用該結(jié)構(gòu)，包括但不限于 Go 漏洞數(shù)據(jù)庫(kù)、Rust 咨詢(xún)數(shù)據(jù)庫(kù)以及 Python 咨詢(xún)數(shù)據(jù)庫(kù)。
本文轉(zhuǎn)自O(shè)SCHINA
本文標(biāo)題：Google 推出新的開(kāi)源漏洞結(jié)構(gòu)
本文地址：https://www.oschina.net/news/147607/google-announce-new-osv-scheme
