Фонд Open Source Security Foundation (OpenSSF) представил открытый сканер зависимостей, который автоматически выявляет известные уязвимости и подозрительные изменения в пакетах с открытым исходным кодом. Инструмент распространяется под лицензией Apache 2.0 и уже доступен в публичном репозитории проекта.
Сканер анализирует манифесты зависимостей для популярных экосистем — npm, PyPI, Maven, Go Modules и Cargo, — сверяя версии с базами CVE и OSV. Отдельный модуль отслеживает аномалии: резкую смену мейнтейнера, появление обфусцированного кода и сетевые обращения во время установки. По заявлению разработчиков, проверка проекта среднего размера занимает менее минуты и может выполняться прямо в CI-конвейере.
В отличие от проприетарных аналогов, инструмент не отправляет исходный код на внешние серверы: все проверки выполняются локально, а базы уязвимостей подгружаются в виде подписанных снимков. Это важно для компаний из регулируемых отраслей, где передача кода третьим лицам запрещена внутренними политиками безопасности.
OpenSSF планирует добавить поддержку SBOM-форматов CycloneDX и SPDX, а также интеграцию с системами управления инцидентами. Первую стабильную версию обещают выпустить до конца года; сообщество уже принимает pull-request'ы и предложения по развитию функциональности.