OSV-Scanner

OSV-Scanner は、プロジェクトの package-lock.json や go.mod などから依存ライブラリの一覧を読み取り、既知の脆弱性があるものを教えてくれるツールです。自分のプロジェクトのフォルダを指定して 1 回実行するだけで結果が出ます。

この記事は、npm や pip などのパッケージを使って開発している人に向けています。読み終えると、次のことができるようになります。

• 自分のプロジェクトの依存ライブラリに既知の脆弱性がないか調べる
• OSV-Scanner が外部に何を送るのかを理解し、必要ならオフラインで使う
• コミット前に自動で調べる（pre-commit）

##OSV-Scanner でできること

OSV-Scanner の動きは 2 段階です。まず、プロジェクトやコンテナイメージから使っているパッケージを取り出します。次に、そのパッケージを脆弱性データベースの OSV.dev と照らし合わせます。

対応する言語は C/C++、Go、Java、JavaScript、Python、Rust など、パッケージマネージャーは npm、pip、yarn、Maven、Go modules、Cargo などです。対応している lockfile の一覧は公式ドキュメントにあります。

##OSV.dev に送るもの

公式 README によると、通常の実行では OSV.dev の API に次の情報を送ります。

• パッケージの名前
• バージョン
• エコシステム（npm、PyPI など）
• C/C++ のコードを調べるときのファイルのハッシュ値

依存関係の解決やライセンスの確認には deps.dev の API も使い、パッケージ名、バージョン、エコシステムを送ります。どちらの場合も、ソースコードそのものは送りません。

社外に依存ライブラリの一覧を出したくないときは、オフラインモードを使います。--offline を付けると、手元にダウンロードしたデータベースだけで照合し、プロジェクトや依存関係の情報をどこにも送りません。

##安全な試し方：自分のプロジェクトを調べる

1. リリース一覧から、使っている OS 用のファイルをダウンロードします。Windows では winget install Google.OSVScanner、macOS では brew install osv-scanner でも入ります。

2. 自分のプロジェクトのフォルダを指定して実行します。-r を付けると、サブフォルダの中まで調べます。

   osv-scanner scan source -r ./my-project

3. 結果の表を見ます。OSV URL の列に脆弱性の詳細ページ、FIXED VERSION の列に修正済みのバージョンが出ます。-- と表示されていれば、まだ修正版がありません。

外部に何も送らずに試したいときは、次のように実行します。1 回目にデータベースをダウンロードし、以降は手元のデータだけで照合します。

osv-scanner --offline --download-offline-databases ./my-project

##主な使い方

--serve は、HTML のレポートを手元のポート 8000 で表示します。

終了コードは、脆弱性がなければ 0、見つかれば 1、調べるファイルが見つからなければ 128 です。CI で使うときの判定に使えます。

pre-commit にも対応しています。.pre-commit-config.yaml に https://github.com/google/osv-scanner/ のフック osv-scanner を追加すると、コミット前に依存ライブラリを調べられます。

##Trivy との違い

Trivy も依存ライブラリの脆弱性を調べられます。大きな違いは、照合のしかたと調べる範囲です。

依存ライブラリだけを手早く調べたいなら OSV-Scanner、コンテナや設定ファイルもまとめて調べたいなら Trivy、という使い分けができます。

##注意点

##次に読む

• cd ../trivyTrivyコンテナイメージや設定ファイルもまとめて調べるツール
• cd ../gitleaksGitleaksコードに紛れ込んだ API キーなどを探すツール