Ökosystem · Java · Kotlin · Maven, Gradle
Die Schwachstellen Ihrer Maven- und Gradle-Abhängigkeiten, ohne Pipeline.
LibWatch liest pom.xml, Ihre Gradle-Skripte und Ihre Versionskataloge, prüft jede Maven-Abhängigkeit und überwacht die Versionen von Java, Kotlin, Gradle und Android.
Was LibWatch im Repository liest
pom.xmlbuild.gradle(.kts)settings.gradle(.kts)libs.versions.tomlgradle.lockfile
Sprachversion: Java, Kotlin, Gradle, Android-Plugin, Android-SDK
Sonst nichts: kein Klonen, keine Codeausführung.
Was LibWatch prüft
Die Abhängigkeiten und die gesamte Build-Kette
Maven-Abhängigkeiten
Bekannte Schwachstellen
Jede Abhängigkeit wird mit OSV abgeglichen, das die GitHub Advisories enthält.
Android
Ziel-SDK und Google Play
Das Android-Ziel-SDK wird mit den Anforderungen von Google Play verglichen.
Zustand
Lizenzrichtlinie
Inkompatible Lizenzen und nicht mehr gepflegte Abhängigkeiten.
Eine Warnung, ganz konkret
Eine Maven-Schwachstelle, mit der Version, die sie behebt
Die Schwachstellen, die Ihre Versionen betreffen, mit der korrigierten Version. Mehr nicht.
Tatsächlicher Schweregrad
CVSS-Schweregrad und Eintrag im KEV-Katalog der CISA
Was zu tun ist
Die korrigierte Version und das betroffene Projekt
Wohin
E-Mail, Slack, Zulip oder Webhook, pro Projekt einstellbar
field-app · Android
Beispiel · Analyse vom 22.10.
-
Unter der Play-Anforderung
Android-Ziel-SDK
targetSdk 33
-
Schweregrad mittel
com.squareup.okhttp3:okhttp
4.9.0
-
Aktuell
Kotlin
2.1.0
Jede Nacht um 2 Uhr erneut geprüft
Überwachte Versionen
Die in Ihren Gradle- und Maven-Dateien deklarierten Versionen werden überwacht.
- Java (toolchain)
- Kotlin
- Gradle
- Android Gradle Plugin
- Android-Mindest-SDK
- Android-Ziel-SDK
Loslegen
Der erste Bericht in wenigen Minuten
Ohne Änderung an der Pipeline.
Verbinden Sie GitHub oder GitLab
Auch selbst gehostete GitLab-Instanzen.
Wählen Sie Ihre Java und Kotlin-Repositorys
LibWatch findet die oben genannten Dateien selbst, auch in einem Monorepo.
Lesen Sie den Bericht, richten Sie die Warnungen ein
Aktiv ausgenutzte Schwachstellen zuerst, korrigierte Versionen, Supportende der Sprache.
Häufige Fragen
LibWatch, Java und Kotlin
Muss im Projekt etwas installiert werden?
Nein. LibWatch liest die Abhängigkeitsdateien über die API von GitHub oder GitLab, ohne etwas an Ihrer Pipeline zu ändern.
Werden private Registrys unterstützt?
Ja. Ein Paket aus einer privaten Registry wird als solches erkannt: Sein Name wird an keinen Drittdienst gesendet, und es bleibt im Inventar des Projekts.
Erkennt LibWatch die auf dem Server installierte Version?
Nein. LibWatch liest die im Repository deklarierte Version (Versionsdatei, Lockfile oder Manifest). Es hat keinen Zugriff auf Ihre Server.