go vulnerability check

Définition

govulncheck est l'outil officiel de détection de vulnérabilités dans les dépendances Go, développé et maintenu par l'équipe de sécurité Go (Google). Contrairement aux scanners SCA génériques (Grype, Snyk) qui alertent sur toutes les CVEs des packages Go utilisés, govulncheck adopte une approche innovante : il analyse le code source et le binaire Go pour identifier uniquement les fonctions vulnérables qui sont réellement appelées par votre code (call graph analysis), réduisant drastiquement les faux positifs. govulncheck consulte la Go Vulnerability Database (vuln.go.dev), la base de données officielle de vulnérabilités Go maintenue par l'équipe sécurité Google, qui couvre les CVEs dans les modules Go publiés sur pkg.go.dev. Cette base de données se distingue par la précision de ses advisory : chaque entrée documente non seulement quel package est vulnérable mais aussi quelles fonctions spécifiques dans ce package présentent la vulnérabilité. La particularité de govulncheck (call graph analysis) est ce qui le distingue fondamentalement des autres outils SCA : si votre code utilise le package golang.org/x/crypto mais n'appelle pas la fonction spécifique qui contient la vulnérabilité CVE-XXXX-YYYY, govulncheck ne signalera pas cette CVE. Cette précision réduit considérablement le bruit par rapport aux outils qui reportent simplement "ce package est utilisé et présente une CVE", forçant les équipes à analyser manuellement chaque alerte pour déterminer si le code vulnérable est réellement appelé. L'utilisation de govulncheck est simple et rapide : go install golang.org/x/vuln/cmd/govulncheck@latest && govulncheck ./... analyse un module Go complet et retourne uniquement les vulnérabilités dans le code effectivement appelé, avec le chemin d'appel depuis le point d'entrée vers la fonction vulnérable.