OPEN-SOURCE SOFTWARE VULNERABILITY ANALYSIS

To analyze open-source code at a large scale, a security domain graph language ("SGL") has been created that functions as a vulnerability description language and facilitates program analysis queries. The SGL facilitates building and maintaining a graph database to catalogue vulnerabilities found in open-source components. This vulnerability database generated with SGL is used for analysis of software projects which use open source components. An agent which interacts with the vulnerability database can perform a scan of a software project to identify open-source components used in the project and submit queries to the vulnerability database to identify vulnerabilities which may affect the open-source components in the project. Results of the scan are presented to a user in the form of a vulnerability report which indicates vulnerabilities that have been discovered and which open-source components the vulnerabilities affect. Pour analyser un code source libre à grande échelle, un langage de graphe de domaine de sécurité (« SGL ») a été créé et fonctionne comme un langage de description de vulnérabilités et facilite les interrogations d'analyse de programme. Le SGL facilite la construction et le maintien d'une base de données de graphes pour cataloguer les vulnérabilités trouvées dans des composantes à source libre. Cette base de données de vulnérabilités générée avec un SGL sert à l'analyse de projets logiciels qui utilisent des composantes à source libre. Un agent qui interagit avec la base de données de vulnérabilités peut effectuer une exploration d'un projet logiciel afin d'identifier des composantes à source libre intervenant dans le projet et soumettre des interrogations à la base de données de vulnérabilités afin d'identifier des vulnérabilités qui peuvent affecter les composantes à source libre du projet. Les résultats de l'exploration sont présentés à un utilisateur sous la forme d'un rapport de vulnérabilités qui indique les vulnérabilités qui ont été découvertes et les composantes à source libre qui sont affectées par les vulnérabilités.