Google製脆弱性スキャナの最新版「OSV-Scanner 2.0.0」が公開

Googleは現地時間2025年3月17日、オープンソースの脆弱性スキャナ「OSV-Scanner」の最新版をリリースした。

同ソフトウェアは、オープンソースの脆弱性データベースを活用し、コンテナイメージやソフトウェアの依存関係などを調査して既知の脆弱性を特定できるツール。セキュリティ担当者や開発者などが脆弱性の管理や修正などに活用することを想定している。

ベータ版やRC版を経て正式に「同2.0.0」がリリースされたもので、最新版ではコンテナに対するスキャン機能を強化。コンテナイメージにおいてレイヤーレベルでの解析や脆弱性の特定が可能となった。

「Go」「Java」「Node」「Python」におけるアーティファクトのスキャンにも対応。ベースイメージの識別機能を追加したことでより包括的なチェックに対応したという。

「Maven」の「pom.xml」を対象とした依存関係の修正機能を導入。「Haskell」「.NET」「Python」における依存管理ファイルの解析にも対応した。HTMLによるレポート出力では、脆弱性の重要度ごとにフィルタリングを行ったり、コンテナレイヤーごとの情報表示が行える。

またSARIFレポートフォーマットにおける重要度への対応を追加したほか、CycloneDX形式のSBOM解析における修正など、バグの修正を実施。APIより非推奨となった一部パッケージを削除するといった変更も実施されている。

（Security NEXT - 2025/03/19 ）ツイート