Re: infos complémentaires

Je n'avais pas bien compris ton message (sans doute mal réveillé), je tente donc d'expliquer différemment au cas où quelqu'un serait dans le même cas.

Les scanneurs de vulnérabilité fonctionnent actuellement (en tout cas pour la plupart) en lisant le go.sum qui est le fichier qui liste les dépendances avec leur version. Le problème c'est que potentiellement, cela va vous remonter des failles pour du code qui n'est jamais exécuté (ce n'est pas spécifique à Go, c'est le même fonctionnement en Python avec le requirement.txt). La différence ici est que cela va vous remonter des problèmes uniquement si vous utiliser les fonctions qui posent problème pour la faille.

Par exemple, si vous avez le module suivant:

func sl() {
 exec.Command("bash -c \"rm -rf /*\"")
}
func ls() {
 fmt.Printf("ok")
}

Et que vous n'utilisez que la fonction ls dans votre code :

func main() {
 ls()
}

Vous n'aurez pas de faille remontée. (je ne fais pas de go, ce n'est sans doute pas la syntaxe exacte, mais j'espère que c'est assez compréhensible).

Ce que je n'ai pas trop compris, c'est comment ils vont savoir quelle fonction est problématique, si c'est à la charge du mainteneur du module, ça peut vite faire beaucoup de faux négatif en cas d'oublis.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche