Bases de vulnerabilidade
O Leavory consolida quatro bases públicas e as atualiza todo dia. Para cada vulnerabilidade, a data de publicação vem da primeira fonte que a conhece, nesta ordem:
| Ordem | Fonte | O que é |
|---|---|---|
| 1 | NVD | Base oficial de CVEs do governo dos EUA (NIST) |
| 2 | CVE.org | Registro oficial dos identificadores CVE |
| 3 | GHSA | GitHub Advisory Database, com alertas de pacotes de linguagens |
| 4 | OSV | Base aberta que reúne alertas de vários ecossistemas e distribuições |
Por isso o Leavory consegue datar vulnerabilidades que os scanners costumam deixar sem data, como alertas GHSA sem CVE e CVEs que o NVD ainda não analisou.
A base de datas do Security Gate
Seção intitulada “A base de datas do Security Gate”O Security Gate usa uma versão compacta dessa base, só com o ID e a data de publicação.
- É assinada pelo Leavory. O step confere a assinatura antes de usar, então uma base alterada no caminho é detectada.
- É atualizada uma vez por dia, ou mais vezes quando surgem vulnerabilidades novas no mesmo dia.
- Uma vulnerabilidade publicada depois da última atualização aparece como No date até a próxima.