VulnReach

SCA consciente de tempo de execução — prova quais CVEs são realmente alcançáveis, não apenas instaladas.

VulnReach agora é um Projeto OWASP oficial. 🎉

Demonstração

Passo 1 — SCA revela 74 CVEs nas dependências

Passo 2 — VulnReach prova quais são realmente alcançáveis

Descobertas — cadeia de evidências por CVE

Painel — 42 confirmadas como alcançáveis em 9 repositórios

Suporte a linguagens: Python está totalmente pronto para produção (taint, AST, rota, runtime). Java e JavaScript possuem análise funcional de grafo de chamadas e são experimentais. Go, C# e PHP estão no roadmap. Veja ROADMAP.md para detalhes.

VulnReach se baseia na saída padrão do SCA adicionando contexto de alcançabilidade — provando através de análise estática, rastreamento de taint e cobertura de runtime ao vivo quais das CVEs detectadas podem realmente ser alcançadas em sua aplicação.

Status do Projeto

Último Desenvolvimento (lançado)

• Pipeline de runner paralelo consciente de dependências para varreduras mais rápidas
• Alcançabilidade Python — pronto para produção (camadas taint, AST, rota, runtime todas funcionais)
• Alcançabilidade Java — grafo de chamadas funcional com análise de dependências Maven/Gradle (experimental)
• Alcançabilidade JavaScript — grafo de chamadas funcional com detecção de ponto de entrada de rota (experimental)
• Cancelamento de varredura — POST /scan/{id}/cancel interrompe varreduras em andamento
• Contrato de resposta de varredura estável: summary + buckets classificados em GET /scan/{id}
• Normalização de resposta de varredura compartilhada entre API e modo local de pacote (paridade)
• Limite de runtime seguro por padrão:
  • compose base é executado sem montagem do socket Docker
  • varreduras dinâmicas exigem aceitação explícita via VULNREACH_ALLOW_DOCKER_DAEMON=true
  • perfil de runtime usa docker-socket-proxy restrito
• Portões de qualidade de fixture determinísticos para Java/JavaScript/Go em CI
• Aceito como um Projeto OWASP oficial — owasp.community/projects/vulnreach
• Endpoint de próximos passos com IA — POST /findings/{id}/next-steps produz orientação de remediação voltada para analistas (ações imediatas, sondas de validação, caminhos de atualização, monitoramento) para uma descoberta determinística. Preguiçoso / sob demanda: as varreduras nunca chamam o LLM, e falhas do LLM degradam graciosamente. O veredito determinístico é somente leitura. Veja .

Experimental

• modo de rastreamento scan.runtime.ebpf (focado em Linux, aceitação explícita)
• Geração assistida por IA de OpenAPI e fluxos DAST Inteligentes

Veja:

• docs/incubator-readiness.md
• docs/threat-model.md

Como funciona

Cada CVE é classificada através de uma cadeia de evidências de cinco camadas:

1. SCA (Trivy)             → o pacote está instalado e vulnerável?
2. Análise de taint (tainter) → a entrada do usuário flui para o sink vulnerável?
3. Análise AST             → a função vulnerável está no seu grafo de chamadas?
4. Exposição de rota           → o caminho de chamada é alcançável a partir de um endpoint HTTP?
5. Cobertura de runtime         → o código vulnerável foi realmente executado?

O resultado é uma lista de descobertas priorizadas com quatro níveis:

Início Rápido

Com Docker Compose (recomendado)

Aviso de segurança — antes de iniciar, copie .env.example para .env.local e substitua cada valor CHANGE_ME por um segredo aleatório forte.
Não exponha o VulnReach em uma rede pública sem definir credenciais reais e configurar CORS_ORIGINS.

git clone https://github.com/ihrishikesh0896/vulnreach.git
cd vulnreach

# 1. Create your local config
cp .env.example .env.local

# 2. Fill in every CHANGE_ME — generate secrets with: openssl rand -hex 32
$EDITOR .env.local

# 3. Start the stack
docker compose up --build

# Optional: enable dynamic runtime scans (Docker daemon access via restricted socket proxy)
# docker compose -f docker-compose.yml -f docker-compose.runtime.yml up --build

Executar uma varredura

Opções de autenticação:

• JWT de curta duração: POST /login
• Token de API de longa duração (chave da API): crie em Interface de Usuário Configurações -> Chaves da API, depois use como Authorization: Bearer <API_KEY>

# Get a token (replace with the credentials you set in .env.local)
TOKEN=$(curl -s -X POST http://localhost:8000/login \
  -H "Content-Type: application/json" \
  -d '{"username":"<your-admin-user>","password":"<your-admin-password>"}' | jq -r .access_token)

# Start scan from a GitHub repo
curl -X POST http://localhost:8000/scan \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"repo_url":"https://github.com/yourorg/yourapp"}'

# Poll for results
curl http://localhost:8000/scan/<scan_id> \
  -H "Authorization: Bearer $TOKEN" | jq .summary

Funcionalidades

• Alcançabilidade filtrada por SCA — classifica cada CVE pela força da evidência, não apenas pela pontuação CVSS
• Confirmação de runtime — coleta de cobertura baseada em Docker via coverage.py
• Rastreamento de taint — rastreia entrada do usuário → sinks vulneráveis (SQL, subprocess, YAML, pickle)
• DAST orientado por LLM — Claude/OpenAI/Ollama gera e valida payloads de exploração (opcional)
• Portões CI/CD — policy.block_if falha builds em descobertas críticas confirmadas
• Autenticação JWT — multi-usuário, acesso baseado em papéis (admin/analyst)
• Tokens de API (chaves da API) — autenticação de máquina de longa duração para curl/CI (Authorization: Bearer <API_KEY>)
• Exportação PDF — GET /scan/{id}/export/pdf
• Sem vendor lock-in — funcionalidades LLM padrão para provider: none; Ollama suportado para uso offline

Na Prática

Alvo da varredura: multi-tier-dvpa — uma aplicação Python/Django intencionalmente vulnerável com 72 CVEs brutas em 11 pacotes.

46% das descobertas foram removidas da fila indiferenciada de 'corrigir tudo' para uma lista de ações priorizadas. Em um serviço de produção típico (onde muitas dependências transitórias nunca são chamadas), este número sobe para 70–90%.

Metodologia completa, detalhes da cadeia de evidências e detalhamento por pacote: docs/benchmark.md

Documentação

Uso

• USAGE_PACKAGE.md — instalação do pacote/CLI, dependências, inicialização, uso
• USAGE_UI.md — instalação do servidor/interface de usuário, dependências, inicialização, uso

Operadores / Implantadores

• docs/deployment.md — configuração Docker Compose, variáveis de ambiente, notas de produção
• docs/configuration.md — referência completa de configuração do scan.yml
• docs/api.md — endpoints REST e schemas

Arquitetura / Segurança

• docs/architecture.md — design do pipeline e modelo de execução
• docs/threat-model.md — limites de confiança, STRIDE, casos de abuso
• docs/incubator-readiness.md — status de prontidão OSS/OWASP
• docs/DAST.md — conceitos e fluxo de DAST

Contribuidores

• ROADMAP.md — funcionalidades planejadas, limitações conhecidas, status de suporte a linguagens
• docs/development.md — internos, agentes, armazenamento, pontos de extensão
• OWASP.md — notas do projeto OWASP
• SECURITY.md — divulgação de vulnerabilidades e rotação de chaves
• CONTRIBUTING.md — processo de contribuição
• CHANGELOG.md — histórico de versões

Requisitos

• Python 3.11+
• PostgreSQL 13+
• Docker + Docker Compose v2 (para análise dinâmica)
• trivy no PATH (instalar)
• jq (usado em exemplos de início rápido — instalar)

Opcional (todos ignoram graciosamente se ausentes):

• semgrep — pip install semgrep
• tainter — pip install tainter (análise de fluxo de taint; veja o guia de desenvolvimento)

Licença

Apache 2.0 — veja LICENSE.