Eine Softwareversion auf bekannte CVEs prüfen

Ein CVE-Checker beantwortet eine enge Frage: Welche veröffentlichten Hinweise schließen diese genaue Version ein. Er scannt deinen Server nicht, er rät keine Version aus einem Banner, und ein leeres Ergebnis ist kein Sicherheitszertifikat. Es ist die Liste, die diese Quellen für den Namen und die Version geliefert haben, die du eingetippt hast.

Die Version muss die sein, die du betreibst

Hinweise gelten für einen Bereich, nicht für einen Produktnamen. Node.js 20.11.0 und 20.11.1 sind verschiedene Antworten. Der kostenlose Checker auf dieser Website nimmt ein Produkt und eine Version, sonst nichts. Ein führendes „v“ wird ignoriert, wenn der Rest eine Version ist (v20.11.0 und 20.11.0 gelten gleich); alles andere bleibt stehen, damit der Vergleich sieht, was du getippt hast.

Produkte, die wir kennen — nginx, Node.js, OpenSSL und der Rest des Katalogs — werden gegen die CPE-Versionsbereiche des NVD geprüft, derselbe Abgleich, den Stack Watch benutzt. Ein Name, der nicht im Katalog steht, wird als Paket bei OSV.dev abgefragt, einschließlich der GitHub Advisory Database, über npm, PyPI, Go, Maven, RubyGems, crates.io, NuGet und Packagist. Der Katalog „Known Exploited Vulnerabilities“ der CISA markiert CVEs, die in freier Wildbahn eingesetzt werden. Antwortet eine Quelle nicht, sagt das Ergebnis das. Die Lücke füllen wir nicht mit erfundenen Einträgen.

curl -fsS https://api.hypermonitors.com/v1/tools/vulnerabilities \
  -H 'content-type: application/json' \
  -d '{"product":"nginx","version":"1.24.0"}'

Der Body besteht aus diesen beiden Feldern. Der Endpunkt erlaubt 10 Anfragen pro Minute und Aufrufer, enger als die anderen kostenlosen Werkzeuge, weil ein Fehltreffer NVD und OSV fragt. Wiederholungen einer Version, die du schon abgefragt hast, kommen aus einem Cache, der sechs Stunden hält — ein Ergebnis kann also bis zu sechs Stunden hinter einem ganz neuen Hinweis liegen. Höchstens 80 Hinweise stehen in der Liste; das Urteil zählt den Rest mit.

Was „nichts gefunden“ bedeuten darf

• Diese Quellen haben keinen Hinweis gemeldet, dessen Bereich diese genaue Version enthält. Der nächste Hinweis kann morgen erscheinen.
• Eine Distribution kann einen Fix zurückportiert haben, ohne die Versionszeichenkette zu ändern. Ein Treffer — und ein leeres Ergebnis — braucht trotzdem die Hinweise des Herstellers, bevor du ihn als letztes Wort nimmst.
• Ein Paketname, der nicht im Katalog steht, ist nur so gut wie die Ökosysteme, die abgefragt wurden. Liegt der Name nah an einem Katalogprodukt, wird das vorgeschlagen, statt zu raten. Ein leeres Paketergebnis kann ein Tippfehler sein.

Vom nächsten erfahren

Der Checker ist eine einmalige Prüfung und braucht kein Konto. Stack Watch ist die fortlaufende Fassung, ab Solo, und sie benutzt die Alarmkanäle, die du schon hast. Du trägst die Software ein, die du betreibst, auf Wunsch mit Version. Hinweise, die älter sind als der Eintrag, werden gelistet und nicht alarmiert; nur ein neu veröffentlichtes Zusammentreffen wird geschickt. Die voreingestellte Schwelle sind ausschließlich bekannt ausgenutzte Schwachstellen. Solo beobachtet bis zu 3 Einträge und kann diese Schwelle nicht weiter öffnen. Team beobachtet bis zu 100 und kann eine weitere Schwelle wählen. Enterprise hat keine Obergrenze für Einträge und kann die Schwelle ebenfalls wählen. Der Gratis-Tarif enthält davon nichts.

Einen ganzen Abhängigkeitsbaum kannst du als Lockfile oder SBOM hochladen — CycloneDX oder SPDX, für npm, pnpm, Yarn, Composer, pip, Go, Bundler oder Cargo — und er wird gegen OSV.dev geprüft. Der Upload zählt gegen dieselbe Obergrenze, deshalb passt ein echtes Lockfile nicht in Solos drei Plätze. HTTP-Monitore können die Software zeigen, die eine Seite in Server und X-Powered-By nennt, mit einem Weg, diesen Namen zu beobachten. Die API liegt unter /v1/stack. Nichts davon ersetzt das Lesen des Hinweises: Checker und Watch sagen dir, dass der Bereich gepasst hat. Sie patchen den Host nicht.