OSV
Schwachstellendatenbank für Open-Source-Software
Open Source Vulnerabilities
OSV ist eine offene Schwachstellendatenbank und ein zugehöriges Datenschema mit Fokus auf Open-Source-Abhängigkeiten. Statt an Produktnamen knüpft OSV präzise an Paketversionen in den jeweiligen Sprach-Ökosystemen an und beantwortet so die Frage, ob eine konkrete Abhängigkeit betroffen ist. Für die Sicherheit der Software-Lieferkette ist das ein entscheidender Unterschied.
Historie & Fakten. OSV entstand aus der Beobachtung, dass die klassische, CPE-basierte Schwachstellenzuordnung für moderne, paketbasierte Software schlecht passt. Das offene OSV-Schema beschreibt betroffene Versionen maschinenlesbar und exakt; die zugehörige Datenbank aggregiert Einträge aus vielen Ökosystemen und Advisory-Quellen. So lässt sich automatisiert prüfen, ob eine in einem Projekt verwendete Bibliothek in genau der eingesetzten Version verwundbar ist.
Ausblick & Empfehlung. Mit dem CRA und der wachsenden Bedeutung von Software-Stücklisten (SBOM) wird die präzise Abhängigkeitsanalyse zur Pflicht. OSV ist hier ein zentraler Baustein: In Kombination mit einer SBOM beantwortet es belastbar, welche Komponente in welcher Version verwundbar ist — die Grundlage für gezieltes Patchen statt pauschaler Updates.