Repolode
投稿する
google

google/osv-scanner

プロジェクトの依存関係やコンテナイメージをOSV脆弱性データベースと照合し、既知の脆弱性を報告するGo製CLIです。

代替できる製品:SnykDependabot

GitHub で見る公式サイト
スター
11,413
フォーク
841
未解決の Issue
99
最終コミット
19 時間前

これは何？

OSV-Scannerは、プロジェクトの依存関係一覧をosv.devのOSVデータベースに登録された既知の脆弱性と照合します。ソースディレクトリを指定すると、package.json、go.mod、pom.xmlなどの対応するパッケージファイルを再帰的に検索し、記載されたバージョンに影響する脆弱性を報告します。コンテナイメージもスキャンでき、Alpine、Debian、UbuntuのOSパッケージに加え、Go、Java、Node、Pythonの言語依存関係も確認します。

脆弱性の検索だけでなく、依存関係のライセンスを許可リストのSPDX一覧と照合したり、ローカルにダウンロードしたOSVデータベースを使ってオフラインで実行したりできます。実験的なfixコマンドでは、npmおよびMavenプロジェクト向けにパッケージのアップグレードを提案し、対話モードも利用できます。スキャンエンジンの中核にはOSV-Scalibrライブラリを使用しています。

主な機能

  • 01さまざまな言語に対応したlockfileやマニフェストを、ソースディレクトリから検索します。
  • 02OSパッケージや言語ごとの成果物を含め、コンテナイメージをスキャンします。
  • 03依存関係のライセンスを許可リストのSPDX一覧と照合します。
  • 04ローカルにダウンロードしたOSVデータベースを使ってオフラインで実行できます。
  • 05実験的なfixコマンドで、npmおよびMavenプロジェクト向けにパッケージのアップグレードを提案します。

ユースケース

  • リリース前にプロジェクトの依存関係に既知の脆弱性がないか確認する。
  • CIパイプラインでコンテナイメージをスキャンし、脆弱なベースイメージやパッケージを検出する。
  • 組織の許可リストに照らして依存関係のライセンスを監査する。
  • ローカルに保存した脆弱性データベースを使い、外部ネットワークに接続できない環境でスキャンする。

クイックスタート

  1. 1

    Goでインストール（ソースからビルド）

    go install github.com/google/osv-scanner/v2/cmd/osv-scanner@latest
  2. 2

    ソースディレクトリをスキャンして脆弱性を検出

    osv-scanner scan source -r /path/to/your/dir

使う前に知っておきたいこと

  • READMEではV2ベータ版とされているため、インターフェースはまだ変更される可能性があります。
  • ガイド付き修正（fixコマンド）は実験的な機能であり、信頼できないプロジェクトでパッケージマネージャーのスクリプトを実行する場合があります。

収録されている特集

CLI・ターミナルツールセキュリティ診断・監査・脅威情報ツール

トピック

#security#vulnerability-scanner#dependency-scanning#sca#container-security#osv#supply-chain-security#cli#scanner#security-audit

よくある質問

osv-scanner とは？
プロジェクトの依存関係やコンテナイメージをOSV脆弱性データベースと照合し、既知の脆弱性を報告するGo製CLIです。 OSV-Scannerは、プロジェクトの依存関係一覧をosv.devのOSVデータベースに登録された既知の脆弱性と照合します。ソースディレクトリを指定すると、package.json、go.mod、pom.xmlなどの対応するパッケージファイルを再帰的に検索し、記載されたバージョンに影響する脆弱性を報告します。コンテナイメージもスキャンでき、Alpine、Debian、UbuntuのOSパッケージに加え、Go、Java、Node、Pythonの言語依存関係も確認します。
osv-scanner は無料で使えますか？ライセンスは？
osv-scanner は Apache-2.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。
osv-scanner は今もメンテナンスされていますか？
活発にメンテナンス中。osv-scanner の最終コミットは 2026年11月5日 です。
osv-scanner は何に使えますか？
リリース前にプロジェクトの依存関係に既知の脆弱性がないか確認する。 CIパイプラインでコンテナイメージをスキャンし、脆弱なベースイメージやパッケージを検出する。 組織の許可リストに照らして依存関係のライセンスを監査する。 ローカルに保存した脆弱性データベースを使い、外部ネットワークに接続できない環境でスキャンする。
osv-scanner のインストール方法は？
Goでインストール（ソースからビルド）: go install github.com/google/osv-scanner/v2/cmd/osv-scanner@latest ソースディレクトリをスキャンして脆弱性を検出: osv-scanner scan source -r /path/to/your/dir
osv-scanner はどこで入手できますか？
ソースコードとインストール手順は GitHub にあります：https://github.com/google/osv-scanner

概要はプロジェクトの README をもとに AI が生成しています。GitHub の数値は毎日更新されます。

関連プロジェクト