OWASP Dependency-Check

Définition

OWASP Dependency-Check est un outil open source d'analyse de composition logicielle (SCA) maintenu sous l'égide de la fondation OWASP, qui identifie les dépendances tierces intégrant des vulnérabilités publiquement connues dans un projet logiciel. Il fonctionne en générant des identifiants uniques (Common Platform Enumeration, CPE) pour chaque bibliothèque détectée dans le projet, à partir de métadonnées comme les fichiers manifestes (pom.xml pour Java, packages.config pour .NET, package-lock.json pour Node.js) ou de l'empreinte binaire des artefacts, puis en croisant ces identifiants avec la National Vulnerability Database (NVD) du NIST américain pour repérer les correspondances avec des CVE référencées. L'outil produit un rapport détaillé classant chaque vulnérabilité par score CVSS, avec un lien direct vers la dépendance concernée et, lorsque disponible, la version corrigée. Il est disponible sous forme de plugin Maven, Gradle, Jenkins et de CLI autonome, ce qui facilite son intégration dans des pipelines CI/CD existants pour bloquer un build en cas de vulnérabilité au-dessus d'un seuil de sévérité configuré. Contrairement aux offres commerciales comme Snyk ou Checkmarx SCA, OWASP Dependency-Check reste entièrement gratuit et auto-hébergeable, ce qui en fait un choix fréquent pour les équipes contraintes budgétairement ou soucieuses de garder l'analyse en interne, bien qu'il nécessite une mise à jour régulière de sa base de données locale NVD pour rester pertinent.