🌐 Projektseite & Doku →

Funktionen

• 10 Ökosysteme in einem Durchlauf; Maven, Gradle, npm/Yarn/pnpm, Composer, PyPI, NuGet, Go, Ruby — plus vendored JS, eingecheckte native Binärdateien (per Checksumme identifiziert) und eingebettete JARs (Fat-Jars/war/ear, im Speicher geöffnet).
• Keine Build-Tools; Manifeste und Lockfiles werden von der Festplatte gelesen. Kein mvn/gradle/npm install/pip/dotnet restore/go build, kein node_modules/. Der Maven-Graph wird so aufgelöst, wie Maven ihn auflöst. → wie
• CVE, zusammengeführt & priorisiert; CVEProject + OSV.dev + NVD, CPE/Version gegengeprüft, um False Positives zu reduzieren, gereiht nach CISA KEV → EPSS → CVSS.
• Jenseits von CVEs; EOL- und nicht mehr aktiv unterstützte Frameworks, deprecated/abandoned/yanked, veraltet mit Release-Daten, SPDX-Lizenzen und private/interne Pakete — jede Koordinate, die keine konfigurierte Registry kennt, in jedem Ökosystem.
• Krypto-Material; eingecheckte Zertifikate (Ablauf, schwacher Schlüssel, schwache Signatur, selbstsigniert), private vs. öffentliche Schlüssel über PEM/OpenSSH/PuTTY/PGP und JKS/PKCS#12-Keystores. Offline geparst, kein Netzwerk.
• Air-gapped; null Netzwerk unter --offline, regressionstested und reproduzierbar unter unshare -rn. Bei Maven erreicht es 657/657 von OSV-Scanners Online-Ergebnis ganz ohne Netzwerkschnittstelle, gegenüber 45 / 40 / 37 bei den anderen. → Benchmark · Air-gapped
• Supply-Chain-Risiko; bekannte bösartige Advisories (blockieren immer das CI-Gate) und vermutete Typosquats (--typosquat).
• Audit-tauglich; jeder Bericht trägt ein Provenienz-Manifest und ein Kapitel Methodik & Einschränkungen; Artefakte liefern SHA256SUMS mit; differenzielle Audits vergleichen gegen einen vorherigen Lauf (--baseline) und CI kann nur auf neue Befunde gaten.
• Eine --help, die auf einen Bildschirm passt; der lange Rattenschwanz an Schaltern faltet sich in vier Flags — -d eol,nvd schaltet Dinge ab, -a licenses,snyk schaltet ein, was standardmäßig aus ist, -r html,json wählt die Ausgaben, -o sagt wo. Die einzelnen Flags funktionieren weiterhin und --help-all listet sie auf.
• Berichte auf Englisch oder Französisch (--lang fr)
• Ausgaben & CI; HTML + Findings-JSON standardmäßig (Word .doc bei --report-doc), CycloneDX 1.6 SBOM, CSAF 2.0 VEX, SARIF 2.1.0, JSON; Gate mit --fail-on, Triage mit --ignore/--vex. Private Registries für jedes Ökosystem.

📖 Nutzung & alle Flags · Architektur · Vergleich mit anderen Tools · Datenquellen

Warum fad-checker für Code-Audits verwenden?

Was es für ein Audit leistet, was die anderen nicht tun. Gleicher Spaltensatz und gleiche Sorgfalt bei der Quellenangabe wie docs/COMPARISON.md — ⚠️ bedeutet teilweise und sagt wie, Zellen sollen überprüfbar sein.

¹ Kein mvn/go/npm/pip/dotnet — Manifeste von der Festplatte geparst, nichts installiert oder ausgeführt. 105 × pom.xml in einem Durchlauf: 790 Paare gegenüber OSV-Scanners 657, 133 nur bei fad, Versionen pro Modul vermittelt statt flachgeklopft.

² 657 von 657 von OSV-Scanners Online-Maven-Ergebnis, unter unshare -rn — keine Netzwerkschnittstelle. Tripwire-getestet; nur öffentliche Koordinaten verlassen jemals die Enklave.

³ Kapitel 0 benennt jede Koordinate, für die jede konfigurierte Registry 404 zurückgab — Maven, npm, PyPI, NuGet, Composer, Go und RubyGems — mit dem/den Manifest(en), die sie deklarieren. Eine Registry, die ein Timeout hatte oder einen Fehler lieferte, wird nie gezählt: eine unschlüssige Antwort würde sonst einen Kunden beschuldigen, interne Pakete auszuliefern, weil dessen Proxy instabil war. -e <regex> schließt sie dann aus.

⁴ -t <dir>: normalisierte POMs plus jedes gespiegelte Nicht-Maven-Lockfile, private Koordinaten entfernt. Archivierbar und von allem scannbar — --snyk eingeschlossen.

⁵ endoflife.date, aufgeteilt in direkt vs. transitiv, damit du weißt, welche Abhängigkeit zu bumpen ist, plus deprecated / abandoned / yanked und veraltet. Trivy deckt nur OS-Distros ab; Snyks Package Health ist nur im Web.

⁶ Inventar und Urteile: Ablauf, RSA<2048, MD5/SHA1, selbstsigniert; private vs. öffentliche Schlüssel; JKS/PKCS#12. Offline-Parser. Trivys Secret-Regel findet die Datei, nicht den Mangel.

⁷ Identifiziert per Hash über deps.dev + CIRCL → should-be-declared / name≠checksum / unknown / malicious. Syfts Muster benennen eine Version, keine Identität.

⁸ Kapitel 0 markiert, was dieser Scan nicht erreichen konnte (fehlende Lockfiles, BOM-only-Versionen, Yarn Berry, nicht bestimmbare PHP-Runtime); Kapitel 6.3 legt dar, was das Tool nie bewertet. Anderswo ist das Erste eine Log-Zeile, die das Audit nie sieht, das Zweite wird nicht niedergeschrieben.

⁹ Provenienz-Manifest: Tool, Runtime, Modus, Laufkonfiguration und Cache-Frische für alle 13 Quellen. Grype und Dependency-Check tragen das Datum einer Quelle, nicht des Laufs.

¹⁰ Kapitel 0→6 mit einer Executive Summary und Fix-Rezepten, eigenständiges HTML plus ein Word-.doc-Zwilling. Keines der anderen gibt Word aus.

¹¹ Vier Inline-SVG-Diagramme — CWE nach schlimmstem Schweregrad, verwundbare Transitive pro Root-Abhängigkeit, deine verwundbarsten Module (direkt vs. transitiv in einem Ein-Modul-Projekt), Fix-Prioritätsbänder — auch im .doc gerendert, mit Ein-Klick-Kopie als PNG (oder einer Tabelle als Rich-HTML), die formatiert in Word eingefügt wird. Jede CVE behält ihren CVSS-Vektor, CWE, Referenzen, CPE-Konfiguration und via-Pfad hinter einem Drill-down, ganz ohne externe Assets.

¹² --baseline fügt ein Δ-Kapitel hinzu (neu / behoben / unverändert); --fail-on-new gated nur auf neue Befunde. Snyk verfolgt dies auf seiner Plattform, nicht als lokalen Diff.

Wo es verliert — Container/OS-Pakete, Auto-Fix-PRs und CVE-Abdeckung gegenüber Snyks kuratiertem Feed → docs/COMPARISON.md · die Lücke, gemessen.

Bewusst kein Ziel: Erreichbarkeit. Ein Befund ist eine verwundbare Version im Abhängigkeitsgraphen, und der Bericht sagt genau das (Kap. 6.3), statt Aufrufpfade zu erraten. Zu entscheiden, ob der verwundbare Code in dieser Anwendung erreichbar ist, ist Sache des Auditors, getroffen mit Anwendungskontext, den kein Scanner hat.

[!WARNING] fad-checker ist neu und kann noch (seltene) Bugs enthalten. Behandle seine Ausgabe als starken ersten Durchlauf, prüfe alles Kritische doppelt und melde bitte Probleme; sie werden schnell behoben.

Schnellstart```bash

npm install -g fad-checker fad-checker -s ./my-project # → ./fad-checker-report/cve-report.html

Was -t <dir> tatsächlich macht. Es ist ein Extraktionsschritt, kein Snyk-Adapter. Er schreibt einen parallelen Baum aus normalisierten Abhängigkeitsdeskriptoren: jede pom.xml reduziert auf die abhängigkeitsrelevanten Knoten (Koordinaten, properties, dependencyManagement, dependencies, modules), Reactor-Parents neu verdrahtet auf ihren echten relativePath im Baum, ${…} in Koordinaten aufgelöst — plus jede Nicht-Maven-Lockfile/Manifest gespiegelt am selben relativen Pfad (package-lock/yarn.lock/pnpm-lock, composer.lock, poetry/Pipfile/uv/pdm, *.csproj/packages.lock.json, go.mod/go.sum, Gemfile.lock und Begleiter wie Directory.Packages.props oder nuget.config). Online sondiert er außerdem jede Koordinate gegen die konfigurierten Maven-Repositories und meldet diejenigen, die dort nicht existieren — deine privaten/internen Module —, die -e <regex> dann aus den umgeschriebenen POMs entfernt. Dann stoppt er: kein CVE/EOL-Durchlauf und kein Report, es sei denn, du übergibst zusätzlich --snyk, ein --report-<type>, --fail-on* oder --baseline. Was du bekommst, ist ein buildfreies, bereinigtes Abhängigkeitsinventar, das du als Audit-Nachweis archivieren, einem Kunden oder einer rechtlichen Prüfung übergeben oder auf jeden Scanner richten kannst — Snyk via --snyk ist einer davon.

[!IMPORTANT] --offline liest den Cache, ersetzt ihn nicht. Bei einem kalten Cache gibt es nichts zum Abgleichen, also meldet ein erster Offline-Lauf legitim 0 CVE / 0 EOL / 0 veraltet; das ist ein leerer Cache, kein sauberes Projekt. Wärme ihn einmal auf (ein normaler Online-Lauf auf irgendeinem Projekt, oder --import-cache), dann liefert --offline das vollständige Ergebnis mit null Netzwerkaufrufen. Air-gapped Maschinen bekommen ihren Cache über --export-cache / --import-cache.

Ein einzelnes eigenständiges Binary (kein Node), Installation aus dem Quellcode und Shell-Completion findest du in → docs/USAGE.md.

Was er findet

Der Report ist in Wurzelkapitel organisiert (jedes gruppiert verwandte Unterkapitel):

Der HTML-Report öffnet sich in jedem Browser, enthält jedes Detail (CVSS-Vektoren, Referenzen, vollständige Beschreibungen, CPE-Konfigurationen, Via-Pfade für Transitive) und liefert einen Word-kompatiblen .doc-Zwilling mit. Jeder Treffer trägt eine zusammengesetzte Priorität (KEV-ausgenutzt > EPSS-Wahrscheinlichkeit > CVSS-Schweregrad), und der Lauf kann zusätzlich eine CycloneDX 1.6 SBOM (--report-sbom, Schwachstellen inline) und eine CSAF 2.0 VEX (--report-csaf) für nachgelagerte Tooling ausgeben.

Abdeckung, ehrlich: die Paare, die Snyk meldet und fad-checker nicht

Kein Tool findet alles. fad-checker führt bei 87 % einer Union aus 908 Paaren, und 131 Paare kamen von Snyk zurück und nicht von ihm. Einzeln gegen OSV adjudiziert, ist keines ein Recall-Bug:

Zwei Drittel widersprechen dem öffentlichen Record, sie zu melden hieße also, False Positives auszuliefern. CVE-2023-6481 ist das saubere Beispiel: beansprucht für [email protected], bindet es logback-core bei [1.2.12, 1.2.13) — falsches Artefakt, und eine Version, die veröffentlicht wurde, bevor der Fehler existierte.

Scope. Alle 131 sind von Snyk: OSV-Scanner, Trivy und Grype+Syft trugen jeweils 0 Befunde bei, die niemand sonst hatte. Und alle liegen auf dem Maven-Ziel — außerhalb von Maven liegt der Graph in der Lockfile, jeder Scanner liest dieselbe Eingabe, und der Benchmark misst identische Befundmengen auf npm, RubyGems und Composer.

Deshalb gibt es --snyk. fad-checker nimmt die Ausgabe von snyk test als Eingabe und merged sie, sodass du die Union bekommst, statt eine Seite zu wählen. Eine Abdeckungsentscheidung, keine Korrektur.

Methode, Caveats und die Urteile pro Paar → docs/BENCHMARK.md; reproduzierbar mit scripts/adjudicate-gap.js.

Air-gapped Audits

Zero-data-sent-Garantie. Unter --offline macht fad-checker überhaupt keine Netzwerkaufrufe; er liest nur die aufgewärmten ~/.fad-checker/-Caches und überträgt niemals eine Abhängigkeit, einen Pfad oder einen Befund von der Maschine. Es ist regression-getestet (test/offline-guarantee.test.js, ein Tripwire-Fetcher, der wirft, wenn er berührt wird) und auditor-reproduzierbar: unshare -rn node fad-checker.js -s ./proj --offline … führt ihn in einem Namespace mit keiner Netzwerkschnittstelle aus und liefert byte-identische Befunde. Anders als die gängigen OSS-Scanner löst fad auch den Maven-transitiven Graphen offline auf; auf einem air-gapped Multi-Modul-Projekt findet er also die transitiven CVEs, die sie nicht finden können.

Wenn das auditierte System offline / vertraulich ist (typisch für ein reguliertes oder air-gapped Audit), kann es OSV / NVD / Maven Central / npm nicht erreichen. Teile die Arbeit über Maschinen auf, während null Umgebungsinformationen die sichere Enklave verlassen: ein anonymisierter Deskriptor trägt nur öffentliche Paketkoordinaten; keine Dateisystempfade, keine Registry-URLs, keine Hostnamen/Benutzernamen; und der detaillierte Report wird zurück auf der Offline-Maschine erzeugt.

Der Transfer beruht auf einer Eigenschaft der fad-checker-Caches: Sie sind nach Koordinate oder Vuln-ID geschlüsselt, niemals nach Pfad, sind also maschinenunabhängig. Der Online-Schritt wärmt nur die Caches auf; der Offline-Schritt spielt den Scan erneut ab und bekommt Cache-Hits.```bash

── Phase 1; OFFLINE (audited machine): export the anonymized descriptor ──

Exclude private/internal packages with -e (offline we can't tell private from public).

fad-checker -s ./proj -e "^(client|internal)." --export-anonymized deps.json

→ deps.json: public coordinates only. Review it before it leaves the enclave.

── Phase 2; ONLINE (any machine, no source needed): warm the caches ──

fad-checker --import-anonymized deps.json # scans coordinates → OSV/NVD/CVE/registry/EOL + retire signatures fad-checker --export-cache fad-cache.tar.gz # bundle the warmed ~/.fad-checker/

── Phase 3; OFFLINE (audited machine): full report, all local context ──

fad-checker --import-cache fad-cache.tar.gz # merged into the enclave's own cache fad-checker -s ./proj --offline # re-collect locally (real paths) + cache hits

→ full HTML/.doc report with manifests & structure, generated inside the enclave.