VulnReach

SCA com reconhecimento de runtime — comprova quais CVEs são realmente alcançáveis, não apenas instaladas.

O VulnReach agora é um Projeto OWASP oficial. 🎉

Demonstração

Etapa 1 — o SCA revela 74 CVEs entre as dependências

Etapa 2 — o VulnReach comprova quais delas são realmente alcançáveis

---

Achados — cadeia de evidências por CVE

Painel — 42 confirmados como alcançáveis em 9 repositórios

Suporte a linguagens: Python está totalmente pronto para produção (taint, AST, rota, runtime). Java e JavaScript possuem análise funcional de grafo de chamadas e são experimentais. Go, C# e PHP estão no roadmap. Consulte ROADMAP.md para detalhes.

O VulnReach parte da saída padrão do SCA e adiciona contexto de alcançabilidade — comprovando, por meio de análise estática, rastreamento de taint e cobertura de runtime ao vivo, quais das CVEs detectadas podem realmente ser alcançadas na sua aplicação.

---

Status do Projeto

Desenvolvimento mais recente (entregue)

• Pipeline de execução paralela com reconhecimento de dependências para varreduras mais rápidas
• Alcançabilidade em Python — pronta para produção (camadas de taint, AST, rota e runtime todas funcionais)
• Alcançabilidade em Java — grafo de chamadas funcional com análise de dependências Maven/Gradle (experimental)
• Alcançabilidade em JavaScript — grafo de chamadas funcional com detecção de pontos de entrada de rota (experimental)
• Cancelamento de varredura — POST /scan/{id}/cancel interrompe varreduras em andamento
• Contrato estável de resposta de varredura: summary + buckets classificados em GET /scan/{id}
• Normalização compartilhada da resposta de varredura entre API e modo local do pacote (paridade)
• Limite de runtime seguro por padrão:
  • o compose base é executado sem montagem do socket do Docker
  • varreduras dinâmicas exigem opt-in explícito via VULNREACH_ALLOW_DOCKER_DAEMON=true
  • o perfil de runtime usa docker-socket-proxy restrito
• Portões de qualidade determinísticos de fixtures para Java/JavaScript/Go no CI
• Aceito como Projeto OWASP oficial — owasp.community/projects/vulnreach
• Endpoint de próximos passos com IA — POST /findings/{id}/next-steps produz orientações de remediação voltadas ao analista (ações imediatas, sondagens de validação, caminhos de upgrade, monitoramento) para um achado determinístico. Preguiçoso / sob demanda: as varreduras nunca chamam o LLM, e falhas do LLM degradam graciosamente. O veredito determinístico é somente leitura. Consulte docs/api.md.

Experimental

• Modo de rastreamento scan.runtime.ebpf (focado em Linux, opt-in explícito)
• Geração de OpenAPI assistida por IA e fluxos de DAST Inteligente

Consulte:

• docs/incubator-readiness.md
• docs/threat-model.md

---

Como funciona

Cada CVE é classificada por meio de uma cadeia de evidências de cinco camadas:

1. SCA (Trivy)              → is the package installed and vulnerable?
2. Taint analysis (tainter) → does user input flow to the vulnerable sink?
3. AST analysis             → is the vulnerable function in your call graph?
4. Route exposure           → is the call path reachable from an HTTP endpoint?
5. Runtime coverage         → was the vulnerable code actually executed?

O resultado é uma lista priorizada de achados com quatro níveis:

Nível	Significado
DYNAMICALLY_REACHABLE	A cobertura de runtime confirmou a execução — corrija imediatamente
STATICALLY_REACHABLE	Caminho de código comprovado via AST/taint — alta prioridade
UNCERTAIN	Apenas sinal fraco — investigue
NOT_REACHABLE	Sem evidências — suprima da fila de alertas

---

Início Rápido

Com Docker Compose (recomendado)

Aviso de segurança — antes de iniciar, copie .env.example para .env.local e substitua cada valor CHANGE_ME por um segredo forte e aleatório.
Não exponha o VulnReach em uma rede pública sem definir credenciais reais e configurar CORS_ORIGINS.

git clone https://github.com/ihrishikesh0896/vulnreach.git
cd vulnreach

# 1. Create your local config
cp .env.example .env.local

# 2. Fill in every CHANGE_ME — generate secrets with: openssl rand -hex 32
$EDITOR .env.local

# 3. Start the stack
docker compose up --build

# Optional: enable dynamic runtime scans (Docker daemon access via restricted socket proxy)
# docker compose -f docker-compose.yml -f docker-compose.runtime.yml up --build

Executar uma varredura

Opções de autenticação:

• JWT de curta duração: POST /login
• Token de API de longa duração (chave de API): crie na UI em Settings -> API Keys, depois use como Authorization: Bearer <API_KEY>

# Get a token (replace with the credentials you set in .env.local)
TOKEN=$(curl -s -X POST http://localhost:8000/login \
  -H "Content-Type: application/json" \
  -d '{"username":"<your-admin-user>","password":"<your-admin-password>"}' | jq -r .access_token)

# Start scan from a GitHub repo
curl -X POST http://localhost:8000/scan \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"repo_url":"https://github.com/yourorg/yourapp"}'

# Poll for results
curl http://localhost:8000/scan/<scan_id> \
  -H "Authorization: Bearer $TOKEN" | jq .summary

---

Recursos

• SCA filtrado por alcançabilidade — classifica cada CVE pela força das evidências, não apenas pela pontuação CVSS
• Confirmação em runtime — coleta de cobertura baseada em Docker via coverage.py
• Rastreamento de taint — rastreia entrada do usuário → sinks vulneráveis (SQL, subprocess, YAML, pickle)
• DAST guiado por LLM — Claude/OpenAI/Ollama gera e valida payloads de exploit (opcional)
• Portões de CI/CD — policy.block_if falha builds em achados críticos confirmados; dispare e aplique o portão via curl — consulte docs/ci-cd-gating.md
• Autenticação JWT — multiusuário, acesso baseado em papéis (admin / analista)
• Tokens de API (chaves de API) — autenticação de máquina de longa duração para curl/CI (Authorization: Bearer <API_KEY>)
• Exportação em PDF — GET /scan/{id}/export/pdf
• Sem aprisionamento tecnológico — recursos de LLM usam provider: none por padrão; Ollama suportado para uso offline

---