🌐 Site do projeto e documentação →

Funcionalidades

• 10 ecossistemas numa só passagem; Maven, Gradle, npm/Yarn/pnpm, Composer, PyPI, NuGet, Go, Ruby — mais JS vendorizado, binários nativos commitados (identificados por checksum) e JARs embutidos (fat-jars/war/ear, abertos em memória).
• Sem ferramentas de build; manifestos e lockfiles são lidos do disco. Sem mvn/gradle/npm install/pip/dotnet restore/go build, sem node_modules/. O grafo Maven é resolvido da forma como o Maven o resolve. → como
• CVE, fundidos e priorizados; CVEProject + OSV.dev + NVD, CPE/versão verificados de forma cruzada para reduzir falsos positivos, classificados CISA KEV → EPSS → CVSS.
• Além dos CVE; frameworks EOL e fora de suporte ativo, depreciados/abandonados/yanked, desatualizados com datas de lançamento, licenças SPDX e pacotes privados/internos — todas as coordenadas que nenhum registo configurado conhece, em qualquer ecossistema.
• Material criptográfico; certificados commitados (expiração, chave fraca, assinatura fraca, autoassinados), chaves privadas vs públicas em PEM/OpenSSH/PuTTY/PGP e keystores JKS/PKCS#12. Analisados offline, sem rede.
• Air-gapped; zero rede sob --offline, testado por regressão e reproduzível sob unshare -rn. No Maven recupera 657/657 do resultado online do OSV-Scanner sem qualquer interface de rede, contra 45 / 40 / 37 dos outros. → Benchmark · Air-gapped
• Risco de cadeia de abastecimento; avisos de maliciosos conhecidos (bloqueiam sempre o gate de CI) e typosquats suspeitos (--typosquat).
• Nível de auditoria; cada relatório inclui um manifesto de proveniência e um capítulo Metodologia e limitações; os artefactos incluem SHA256SUMS; auditorias diferenciais comparam com uma execução anterior (--baseline) e a CI pode fazer gate apenas em novos achados.
• Um --help que cabe num ecrã; a longa cauda de opções agrupa-se em quatro flags — -d eol,nvd desliga coisas, -a licenses,snyk liga o que está desligado por defeito, -r html,json escolhe as saídas, -o diz onde. As flags individuais continuam a funcionar e --help-all lista-as.
• Relatórios em inglês ou francês (--lang fr)
• Saídas e CI; HTML + JSON de achados por defeito (Word .doc com --report-doc), CycloneDX 1.6 SBOM, CSAF 2.0 VEX, SARIF 2.1.0, JSON; gate com --fail-on, triagem com --ignore/--vex. Registos privados para todos os ecossistemas.

📖 Utilização e todas as flags · Arquitetura · Comparação com outras ferramentas · Fontes de dados

Porquê usar o fad-checker para auditorias de código?

O que faz numa auditoria que os outros não fazem. Mesmo conjunto de colunas e disciplina de sourcing que docs/COMPARISON.md — ⚠️ é parcial e diz como, as células devem ser verificáveis.

¹ Sem mvn/go/npm/pip/dotnet — manifestos analisados do disco, nada instalado ou executado. 105 × pom.xml numa só passagem: 790 pares vs 657 do OSV-Scanner, 133 exclusivos do fad, versões mediadas por módulo e não achatadas.

² 657 de 657 do resultado Maven online do OSV-Scanner, sob unshare -rn — sem interface de rede. Testado com tripwire; apenas coordenadas públicas saem do enclave.

³ O capítulo 0 nomeia todas as coordenadas para as quais todos os registos configurados responderam 404 — Maven, npm, PyPI, NuGet, Composer, Go e RubyGems — com o(s) manifesto(s) que as declaram. Um registo que deu timeout ou erro nunca é contado: uma resposta inconclusiva acusaria de outro modo um cliente de enviar pacotes internos porque o seu proxy estava instável. -e <regex> exclui-os depois.

⁴ -t <dir>: POMs normalizados mais todos os lockfiles não-Maven espelhados, coordenadas privadas removidas. Arquivável e analisável por qualquer coisa — --snyk incluído.

⁵ endoflife.date, dividido em direto vs transitivo para saber qual dependência atualizar, mais depreciados / abandonados / yanked e desatualizados. O Trivy cobre apenas distros OS; a saúde de pacotes do Snyk é apenas web.

⁶ Inventário e veredictos: expiração, RSA<2048, MD5/SHA1, autoassinado; chaves privadas vs públicas; JKS/PKCS#12. Parser offline. A regra de segredos do Trivy encontra o ficheiro, não o defeito.

⁷ Identificados por hash via deps.dev + CIRCL → deveria-ser-declarado / nome≠checksum / desconhecido / malicioso. Os padrões do Syft nomeiam uma versão, não uma identidade.

⁸ O capítulo 0 assinala o que esta análise não conseguiu alcançar (lockfiles em falta, versões apenas-BOM, Yarn Berry, runtime PHP indeterminável); o capítulo 6.3 declara o que a ferramenta nunca avalia. Noutros casos o primeiro é uma linha de log que a auditoria nunca vê, o segundo não está escrito.

⁹ Manifesto de proveniência: ferramenta, runtime, modo, configuração de execução e frescura de cache para todas as 13 fontes. O Grype e o Dependency-Check trazem a data de uma fonte, não da execução.

¹⁰ Capítulos 0→6 com um sumário executivo e receitas de correção, HTML autocontido mais um gémeo Word .doc. Nenhum dos outros emite Word.

¹¹ Quatro gráficos SVG inline — CWE por pior severidade, transitivos vulneráveis por dependência raiz, os seus módulos mais vulneráveis (direto vs transitivo num projeto de módulo único), bandas de prioridade de correção — renderizados também no .doc, com cópia com um clique como PNG (ou uma tabela como HTML rico) que cola no Word formatado. Cada CVE mantém o seu vetor CVSS, CWE, referências, configuração CPE e via-path atrás de um drill-down, com zero recursos externos.

¹² --baseline adiciona um capítulo Δ (novo / corrigido / inalterado); --fail-on-new faz gate apenas em novos achados. O Snyk acompanha isto na sua plataforma, não como diff local.

Onde perde — contentores/pacotes OS, PRs de correção automática, e cobertura de CVE face ao feed curado do Snyk → docs/COMPARISON.md · a lacuna, medida.

Deliberadamente não é um objetivo: alcançabilidade. Um achado é uma versão vulnerável no grafo de dependências, e o relatório diz exatamente isso (cap. 6.3) em vez de adivinhar caminhos de chamada. Decidir se o código vulnerável é alcançável nesta aplicação é decisão do auditor, tomada com contexto da aplicação que nenhum scanner tem.

[!WARNING] O fad-checker é novo e pode ainda conter ( raros ) bugs. Trate a sua saída como uma forte primeira passagem, verifique duas vezes qualquer coisa crítica, e por favor reporte problemas; são corrigidos rapidamente.

Início rápido```bash

npm install -g fad-checker fad-checker -s ./my-project # → ./fad-checker-report/cve-report.html

O que -t <dir> realmente faz. É um passo de extração, não um adaptador Snyk. Escreve uma árvore paralela de descritores de dependências normalizados: cada pom.xml reduzido aos nós relevantes para dependências (coordenadas, properties, dependencyManagement, dependencies, modules), parents do reactor religados ao seu verdadeiro relativePath na árvore, ${…} resolvidos nas coordenadas — mais todos os lockfiles/manifests não-Maven espelhados no mesmo caminho relativo (package-lock/yarn.lock/pnpm-lock, composer.lock, poetry/Pipfile/uv/pdm, *.csproj/packages.lock.json, go.mod/go.sum, Gemfile.lock, e companheiros como Directory.Packages.props ou nuget.config). Online também sonda cada coordenada contra os repositórios Maven configurados e reporta as que não existem lá — os teus módulos privados/internos — que o -e <regex> depois remove dos POMs reescritos. Depois para: sem passagem de CVE/EOL e sem relatório a menos que também passes --snyk, um --report-<type>, --fail-on* ou --baseline. O que obténs é um inventário de dependências sanitizado e sem build que podes arquivar como evidência de auditoria, entregar a um cliente ou a uma revisão legal, ou apontar qualquer scanner — Snyk via --snyk sendo um deles.

[!IMPORTANT] --offline lê a cache, não a substitui. Numa cache fria não há nada para corresponder, por isso uma primeira execução offline reporta legitimamente 0 CVE / 0 EOL / 0 desatualizadas; isso é uma cache vazia, não um projeto limpo. Aquece-a uma vez (uma execução online normal em qualquer projeto, ou --import-cache), depois --offline devolve o conjunto completo de resultados com zero chamadas de rede. Máquinas air-gapped obtêm a sua cache via --export-cache / --import-cache.

Um único binário autónomo (sem Node), instalação a partir do código-fonte e autocompletar de shell estão em → docs/USAGE.md.

O que encontra

O relatório está organizado em capítulos raiz (cada um agrupando sub-capítulos relacionados):

O relatório HTML abre em qualquer navegador, contém todos os detalhes (vetores CVSS, referências, descrições completas, configurações CPE, via-paths para transitivas) e inclui um gémeo .doc compatível com Word. Cada correspondência carrega uma prioridade composta (explorado por KEV > probabilidade EPSS > severidade CVSS), e a execução pode ainda emitir um SBOM CycloneDX 1.6 (--report-sbom, vulnerabilidades inline) e um CSAF 2.0 VEX (--report-csaf) para ferramentas a jusante.

Cobertura, honestamente: os pares que o Snyk reporta e o fad-checker não

Nenhuma ferramenta encontra tudo. O fad-checker lidera com 87% de uma união de 908 pares, e 131 pares vieram do Snyk e não dele. Julgados um a um contra o OSV, nenhum é um bug de recall:

Dois terços contradizem o registo público, por isso reportá-los significaria enviar falsos positivos. CVE-2023-6481 é o exemplo claro: reivindicado em [email protected], vincula logback-core em [1.2.12, 1.2.13) — artefacto errado, e uma versão publicada antes de a falha existir.

Âmbito. Todos os 131 são do Snyk: OSV-Scanner, Trivy e Grype+Syft contribuíram cada um com 0 achados que mais ninguém tinha. E todos são no alvo Maven — fora do Maven o grafo está no lockfile, todos os scanners leem a mesma entrada, e o benchmark mede conjuntos de achados idênticos em npm, RubyGems e Composer.

É por isso que --snyk existe. O fad-checker aceita a saída do snyk test como entrada e funde-a, para obteres a união em vez de escolher um lado. Uma escolha de cobertura, não uma correção.

Método, ressalvas e os veredictos por par → docs/BENCHMARK.md; reproduz com scripts/adjudicate-gap.js.

Auditorias air-gapped

Garantia de zero dados enviados. Sob --offline, o fad-checker não faz chamadas de rede de espécie alguma; lê apenas as caches aquecidas em ~/.fad-checker/ e nunca transmite uma dependência, caminho ou achado para fora da máquina. É testado contra regressões (test/offline-guarantee.test.js, um fetcher-armadilha que lança erro se for tocado) e reproduzível por auditores: unshare -rn node fad-checker.js -s ./proj --offline … executa-o num namespace com nenhuma interface de rede e produz achados idênticos byte a byte. Ao contrário dos scanners OSS mainstream, o fad também resolve o grafo transitivo Maven offline; por isso, num projeto multi-módulo air-gapped, encontra os CVEs transitivos que eles não conseguem.

Quando o sistema auditado está offline / confidencial (típico de uma auditoria regulada ou air-gapped) não consegue alcançar OSV / NVD / Maven Central / npm. Divide o trabalho entre máquinas mantendo zero informação do ambiente fora do enclave seguro: um descritor anonimizado transporta apenas coordenadas públicas de pacotes; sem caminhos de filesystem, sem URLs de registry, sem hostnames/usernames; e o relatório detalhado é produzido de volta na máquina offline.

A transferência baseia-se numa propriedade das caches do fad-checker: são indexadas por coordenada ou id de vulnerabilidade, nunca por caminho, por isso são independentes da máquina. O passo online apenas aquece as caches; o passo offline reproduz o scan e obtém cache hits.```bash

── Phase 1; OFFLINE (audited machine): export the anonymized descriptor ──

Exclude private/internal packages with -e (offline we can't tell private from public).

fad-checker -s ./proj -e "^(client|internal)." --export-anonymized deps.json

→ deps.json: public coordinates only. Review it before it leaves the enclave.

── Phase 2; ONLINE (any machine, no source needed): warm the caches ──

fad-checker --import-anonymized deps.json # scans coordinates → OSV/NVD/CVE/registry/EOL + retire signatures fad-checker --export-cache fad-cache.tar.gz # bundle the warmed ~/.fad-checker/

── Phase 3; OFFLINE (audited machine): full report, all local context ──

fad-checker --import-cache fad-cache.tar.gz # merged into the enclave's own cache fad-checker -s ./proj --offline # re-collect locally (real paths) + cache hits

→ full HTML/.doc report with manifests & structure, generated inside the enclave.