Google、無料オープンソース脆弱性スキャンツール「OSV-Scanner V2.0.0」公開　コンテナスキャンに対応、その他の新機能は？：Mavenの「pom.xml」にも対応

Googleは、「OSV-Scanner」の最新版「OSV-Scanner V2.0.0」を公開した。依存関係解析の強化、コンテナイメージのスキャンなどの新機能が追加された。

» 2025年04月08日 08時00分公開

[＠IT]

この記事は会員限定です。会員登録（無料）すると全てご覧いただけます。

　Googleは2025年3月17日（米国時間）、オープンソース開発者が自分のプロジェクトに関連する脆弱（ぜいじゃく）性情報にアクセスできる無料ツール「OSV-Scanner」の最新版「OSV-Scanner V2.0.0」の提供を開始した。

　OSV Scanner V2.0.0では、2025年1月にオープンソース化した「OSV-SCALIBR」（ソフトウェア構成分析支援ライブラリ）の機能を初めて統合し、複数の新機能が追加されている。

　「開発者やセキュリティチームが脆弱性管理をシンプルかつ効率的にすることを目標に、OSV-Scannerに新機能を多数追加した。幅広いフォーマットやエコシステムをサポートする、より包括的な脆弱性スキャナーおよび脆弱性修正ツールに進化した」と、Googleは述べている。

OSV-Scanner V2.0.0の新機能

　OSV-SCALIBRの機能がOSV-Scannerに統合された。これにより、プロジェクトやコンテナの依存関係などのスキャンが可能になった。以下のようなソースマニフェストやロックファイル、アーティファクトの抽出に対応しているという。

ソースマニフェストとロックファイル：

アーティファクト：

　Debian、Ubuntu、AlpineなどのLinuxディストリビューションにおける、コンテナイメージの包括的なスキャンに対応した。コンテナイメージ内の各レイヤーを個別に解析し、どのレイヤーで脆弱性が発生しているかを特定できるようになるという。

　OSV-Scannerは、コンテナイメージを解析し、以下の情報を提供する。

　このレイヤー分析は現在、Go、Java、Node.js、Pythonをサポートしている。

　脆弱性スキャン情報を明確に、実用的な方法で提示することは、特にコンテナスキャンでは課題だった。これに対処するため、インタラクティブなローカルHTML出力形式を新たにサポートした。ターミナルのみの出力と比較すると、以下のようにインタラクティブ性が向上し、より多くの情報を提供可能だという。

コンテナイメージスキャン結果のHTML出力の例（提供：Google）

　2024年、Googleはnpm向けに「ガイド付き修正機能」（Guided Remediation）をリリースした。これは、プロジェクト内の脆弱性に優先順位を付け、修正が必要な特定の依存関係や、推奨されるバージョンを提案し、脆弱性管理の効率化を支援する機能だ。

　OSV Scanner V2.0.0では、Mavenで生成されるpom.xmlのスキャンをサポートし、Javaプロジェクトの脆弱性管理を支援する。pom.xmlのサポートに合わせて、以下の機能が追加されている。

Google、オープンソースのセキュリティパッチ検証ツール「Vanir」を公開　多種多様なAndroidデバイスの脆弱性対応を支援するアプローチとは
Googleは、オープンソースのセキュリティパッチ検証ツール「Vanir」の提供を開始した。未適用のセキュリティパッチを迅速かつ効率的にスキャンし、適用可能なパッチの特定を支援するという。
Googleの無料オープンソース脆弱性スキャンツール「OSV-Scanner」の実力とは？
Googleは、オープンソース開発者がプロジェクトに関連する脆弱性情報に簡単にアクセスできる無料ツール「OSV-Scanner」を公開した。
ゼロトラストアーキテクチャへの変革におけるモダナイゼーションの重要性、移行への実践的なアプローチ
2025年3月4日に開催されたITmedia Security Week 2025 冬の「ゼロトラストセキュリティ」セクションで、ニューリジェンセキュリティ CTO 兼クラウドセキュリティ事業部長の仲上竜太氏が「デジタル災害対策としてのゼロトラストとその最新像」と題して講演した。