Retire.js

Was du verwendest, musst du auch ausmustern

Es gibt eine Vielzahl von JavaScript-Bibliotheken für das Web und Node.JS-Apps. Das vereinfacht die Entwicklung enorm, aber wir müssen bei Sicherheitsupdates auf dem neuesten Stand bleiben. "Verwendung von Komponenten mit bekannten Schwachstellen" ist jetzt Teil der OWASP Top 10 und unsichere Bibliotheken können ein enormes Risiko für Ihre Web-App darstellen. Das Ziel von Retire.js ist es, Ihnen zu helfen, die Verwendung von JS-Bibliotheksversionen mit bekannten Schwachstellen zu erkennen.

Retire.js besteht aus vier Teilen:

1. Ein Kommandozeilen-Scanner
2. Eine Chrome-Erweiterung
3. Ein Grunt-Plugin
4. Burp- und OWASP-Zap-Plugin

Kommandozeilen-Scanner

Scannt eine Web-App oder Node-App auf die Verwendung von anfälligen JavaScript-Bibliotheken und/oder Node.JS-Modulen.

Chrome-Erweiterung

Scannt besuchte Websites auf Verweise auf unsichere Bibliotheken und gibt Warnungen in der Entwicklerkonsole aus. Ein Symbol in der Adressleiste zeigt ebenfalls an, ob anfällige Bibliotheken geladen wurden.

Grunt-Plugin

Eine Grunt-Aufgabe zum Ausführen von Retire.js als Teil der Build-Routine Ihrer Anwendung oder eines anderen automatisierten Workflows.

Burp- und OWASP-ZAP-Plugin

@h3xstream hat Retire.js als Plugin für die Penetrationstest-Werkzeuge Burp und OWASP ZAP angepasst. Ein alternatives OWASP-ZAP-Plugin existiert unter https://github.com/nikmmy/retire/