OSV (Open Source Vulnerabilities)

Définition

OSV (Open Source Vulnerabilities) est une base de données de vulnérabilités open source et une infrastructure d'API développée par Google, spécialement conçue pour les projets open source. Lancée en 2021, OSV se distingue des bases CVE traditionnelles par son format de données précis (version-range rather than versions), son agrégation multi-sources, et son API REST optimisée pour les outils SCA automatisés. Le problème que OSV résout est la granularité insuffisante des CVEs traditionnelles pour les usages SCA automatisés. Un CVE classique peut indiquer "versions 1.0 à 2.3 de la bibliothèque X sont affectées" mais sans préciser exactement quels commits ont introduit et corrigé la vulnérabilité. OSV répond à cela en liant les vulnérabilités à des plages de commits Git précises, permettant une corrélation exacte avec les versions installées dans un projet. OSV.dev agrège des vulnérabilités provenant de multiples sources : GitHub Security Advisories (GHSA), PyPI Advisory Database, crates.io (Rust), Go Vulnerability Database, npm Advisory Database, RubyGems, Packagist (PHP), NVD (CVEs), et plus d'une dizaine d'autres sources. Cette agrégation crée une vue unifiée des vulnérabilités open source avec des identifiants OSV (format GHSA-xxxx-xxxx-xxxx pour les GitHub Advisories, ou numéros OSV propriétaires pour d'autres sources). L'API OSV (api.osv.dev) permet de requêter les vulnérabilités par package name et version, ou par hash de commit, en JSON. Cette API est utilisée par de nombreux outils SCA comme Trivy, Grype, pip-audit, Go vulnerability check, et osv-scanner (l'outil CLI officiel de Google). La latence de l'API est faible et elle est gratuite et sans authentification pour une utilisation raisonnable. OSV Scanner, l'outil CLI officiel de Google basé sur la base OSV, permet de scanner les lockfiles et SBOM d'un projet en quelques secondes et est particulièrement bien adapté aux langages pour lesquels les bases CVE classiques ont une couverture limitée (Go, Rust).