Instalando e usando o osv-scanner: encontre CVEs nas suas dependências

Para: qualquer pessoa que queira verificar se as dependências do seu app escondem vulnerabilidades conhecidas (CVEs), especialmente quem "construiu com a ajuda de IA, sem certeza sobre a segurança das dependências." Nenhum passo de ataque aqui — só defesa: inspecionar o seu próprio terreno (os seus próprios lockfiles).

1. O que é o osv-scanner

Um scanner de código aberto feito pelo Google, escrito em Go. Seus dados de vulnerabilidade vêm do OSV.dev, um banco de dados aberto de vulnerabilidades entre linguagens. A diferença-chave em relação a uma ferramenta específica de linguagem como o npm audit é a abrangência: ele lê lockfiles de npm, PyPI (Python), Go, Rust, Maven (Java) e mais.

O mecanismo é simples: ele lista as versões realmente resolvidas no seu lockfile, cruza cada pacote+versão com o OSV e retorna os CVEs relevantes e as versões corrigidas. O fato de ler o lockfile, não o manifesto (o piso ^ do package.json) importa — isso se alinha ao princípio de julgar pela versão em execução.

2. Instale

Escolha o que se encaixa no seu SO e gosto — todos são oficialmente suportados.

Se você preferir não instalar nada e usá-lo só no CI, rode-o direto da imagem Docker.

# confirme que está instalado
osv-scanner --version

3. Rode

Você vai, na maioria das vezes, "escanear recursivamente um diretório inteiro" ou "nomear um lockfile".

# escaneia o projeto inteiro recursivamente (autodetecta lockfiles)
osv-scanner scan -r ./
 
# nomeia um lockfile (npm / pnpm / yarn etc.)
osv-scanner scan -L pnpm-lock.yaml
 
# emite JSON (para alimentar o CI ou outra ferramenta)
osv-scanner scan -L package-lock.json --format json
 
# inspeciona uma imagem de container
osv-scanner scan image my-app:latest

Rodando via Docker (sem instalação):

docker run --rm -v "$(pwd):/src" ghcr.io/google/osv-scanner:latest scan -r /src

Lendo a saída

Para cada ocorrência você recebe o nome do pacote, a versão atual, o ID do CVE/Advisory e a versão corrigida. Há um único trabalho: subir para a versão corrigida ou acima, atualizar o lockfile e rodar de novo para confirmar que sumiu. Para se aprofundar em um CVE (severidade, status de exploração), cole o ID na busca de CVE/KEV para ver o CVSS e se está sendo ativamente explorado (KEV) em uma só tela.

4. Torne-o contínuo (integre ao CI / cron)

Rodá-lo uma vez na mão não serve para nada. Funciona quando roda antes de cada build ou diariamente via cron. O osv-scanner sai com código diferente de zero quando encontra uma vulnerabilidade, então colocá-lo em um passo do CI interrompe o build no momento em que uma dependência perigosa entra.

5. Escolhendo entre as ferramentas

O movimento certo não é "sempre osv-scanner" — é o que for mais natural para a sua configuração.

Em resumo, osv-scanner, pnpm audit e Dependabot não são concorrentes — são papéis diferentes. Precisa de abrangência entre linguagens e sem dependência do GitHub? osv-scanner. Um único npm? o audit embutido. Centrado no GitHub? Dependabot — e dá para empilhá-los. O que importa é "sempre rodar pelo menos um deles, automaticamente". Contra envenenamento da cadeia de suprimentos (como a brecha do Codecov ou o backdoor do xz-utils), verificações contínuas de dependências são a primeira linha de defesa.

O que este site faz por conta própria

Este site roda a autoauditoria de dependências via pnpm audit antes de cada deploy mais um cron diário (high/critical falha o build e dispara um e-mail). Não escolhemos o osv-scanner porque este site não mantém repositório no GitHub e sua árvore é um único npm — "gratuito, sem binário extra, sem dependência do GitHub" já é atendido pelo pnpm audit. Esse é o padrão que escrevemos aplicado a nós mesmos, e faz parte da credibilidade do produto. E se você quer só experimentar uma vez, agora, sem instalar, também oferecemos um scanner de vulnerabilidades de dependências que roda só no navegador (cole um lockfile, nada sai da página).

Leia a seguir

• Stack: Higiene de CVE no Next.js (julgue pela versão em execução, monitore por máquina)
• Glossário: CVE · CVSS
• Incidente: Codecov — envenenamento da cadeia de suprimentos
• Ferramentas: scanner de dependências (só no navegador) · busca de CVE/KEV