VulnReach

SCA consciente de tempo de execução — prova quais CVEs são realmente alcançáveis, não apenas instaladas.

VulnReach agora é um Projeto OWASP oficial. 🎉

Demonstração

Passo 1 — SCA revela 74 CVEs nas dependências

Passo 2 — VulnReach prova quais são realmente alcançáveis

---

Descobertas — cadeia de evidências por CVE

Painel — 42 confirmadas como alcançáveis em 9 repositórios

Suporte a linguagens: Python está totalmente pronto para produção (taint, AST, rota, runtime). Java e JavaScript possuem análise funcional de grafo de chamadas e são experimentais. Go, C# e PHP estão no roadmap. Veja ROADMAP.md para detalhes.

VulnReach se baseia na saída padrão do SCA adicionando contexto de alcançabilidade — provando através de análise estática, rastreamento de taint e cobertura de runtime ao vivo quais das CVEs detectadas podem realmente ser alcançadas em sua aplicação.

---

Status do Projeto

Último Desenvolvimento (lançado)

• Pipeline de runner paralelo consciente de dependências para varreduras mais rápidas
• Alcançabilidade Python — pronto para produção (camadas taint, AST, rota, runtime todas funcionais)
• Alcançabilidade Java — grafo de chamadas funcional com análise de dependências Maven/Gradle (experimental)
• Alcançabilidade JavaScript — grafo de chamadas funcional com detecção de ponto de entrada de rota (experimental)
• Cancelamento de varredura — POST /scan/{id}/cancel interrompe varreduras em andamento
• Contrato de resposta de varredura estável: summary + buckets classificados em GET /scan/{id}
• Normalização de resposta de varredura compartilhada entre API e modo local de pacote (paridade)
• Limite de runtime seguro por padrão:
  • compose base é executado sem montagem do socket Docker
  • varreduras dinâmicas exigem aceitação explícita via VULNREACH_ALLOW_DOCKER_DAEMON=true
  • perfil de runtime usa docker-socket-proxy restrito
• Portões de qualidade de fixture determinísticos para Java/JavaScript/Go em CI
• Aceito como um Projeto OWASP oficial — owasp.community/projects/vulnreach
• Endpoint de próximos passos com IA — POST /findings/{id}/next-steps produz orientação de remediação voltada para analistas (ações imediatas, sondas de validação, caminhos de atualização, monitoramento) para uma descoberta determinística. Preguiçoso / sob demanda: as varreduras nunca chamam o LLM, e falhas do LLM degradam graciosamente. O veredito determinístico é somente leitura. Veja docs/api.md.

Experimental

• modo de rastreamento scan.runtime.ebpf (focado em Linux, aceitação explícita)
• Geração assistida por IA de OpenAPI e fluxos DAST Inteligentes

Veja:

• docs/incubator-readiness.md
• docs/threat-model.md

---

Como funciona

Cada CVE é classificada através de uma cadeia de evidências de cinco camadas:

1. SCA (Trivy)             → o pacote está instalado e vulnerável?
2. Análise de taint (tainter) → a entrada do usuário flui para o sink vulnerável?
3. Análise AST             → a função vulnerável está no seu grafo de chamadas?
4. Exposição de rota           → o caminho de chamada é alcançável a partir de um endpoint HTTP?
5. Cobertura de runtime         → o código vulnerável foi realmente executado?

O resultado é uma lista de descobertas priorizadas com quatro níveis:

Nível	Significado
DYNAMICALLY_REACHABLE	Cobertura de runtime confirmou execução — corrija imediatamente
STATICALLY_REACHABLE	Caminho de código comprovado via AST/taint — alta prioridade
UNCERTAIN	Apenas sinal fraco — investigue
NOT_REACHABLE	Nenhuma evidência — suprima da fila de alertas

---

Início Rápido

Com Docker Compose (recomendado)

Aviso de segurança — antes de iniciar, copie .env.example para .env.local e substitua cada valor CHANGE_ME por um segredo aleatório forte.
Não exponha o VulnReach em uma rede pública sem definir credenciais reais e configurar CORS_ORIGINS.

git clone https://github.com/ihrishikesh0896/vulnreach.git
cd vulnreach

# 1. Create your local config
cp .env.example .env.local

# 2. Fill in every CHANGE_ME — generate secrets with: openssl rand -hex 32
$EDITOR .env.local

# 3. Start the stack
docker compose up --build

# Optional: enable dynamic runtime scans (Docker daemon access via restricted socket proxy)
# docker compose -f docker-compose.yml -f docker-compose.runtime.yml up --build

Executar uma varredura

Opções de autenticação:

• JWT de curta duração: POST /login
• Token de API de longa duração (chave da API): crie em Interface de Usuário Configurações -> Chaves da API, depois use como Authorization: Bearer <API_KEY>

# Get a token (replace with the credentials you set in .env.local)
TOKEN=$(curl -s -X POST http://localhost:8000/login \
  -H "Content-Type: application/json" \
  -d '{"username":"<your-admin-user>","password":"<your-admin-password>"}' | jq -r .access_token)

# Start scan from a GitHub repo
curl -X POST http://localhost:8000/scan \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"repo_url":"https://github.com/yourorg/yourapp"}'

# Poll for results
curl http://localhost:8000/scan/<scan_id> \
  -H "Authorization: Bearer $TOKEN" | jq .summary

---

Funcionalidades

• Alcançabilidade filtrada por SCA — classifica cada CVE pela força da evidência, não apenas pela pontuação CVSS
• Confirmação de runtime — coleta de cobertura baseada em Docker via coverage.py
• Rastreamento de taint — rastreia entrada do usuário → sinks vulneráveis (SQL, subprocess, YAML, pickle)
• DAST orientado por LLM — Claude/OpenAI/Ollama gera e valida payloads de exploração (opcional)
• Portões CI/CD — policy.block_if falha builds em descobertas críticas confirmadas
• Autenticação JWT — multi-usuário, acesso baseado em papéis (admin/analyst)
• Tokens de API (chaves da API) — autenticação de máquina de longa duração para curl/CI (Authorization: Bearer <API_KEY>)
• Exportação PDF — GET /scan/{id}/export/pdf
• Sem vendor lock-in — funcionalidades LLM padrão para provider: none; Ollama suportado para uso offline

---

Na Prática