OWASP Lab Project로 인정받은 CVE Lite CLI는 JavaScript·TypeScript 프로젝트의 잠금 파일을 검사하고, 취약한 의존성을 고칠 때 실행할 명령을 제안하는 도구다. npm, pnpm, Yarn, Bun을 지원하며 로컬에서 실행할 수 있지만, 온라인 검사에서는 OSV와 npm 레지스트리의 자문 API를 조회한다.
전역 설치 후 프로젝트를 검사하거나 npx로 한 번 실행할 수 있다.
npm install -g cve-lite-cli
cve-lite /path/to/project
npx cve-lite-cli /path/to/project
--fix는 검증된 직접 의존성 수정 사항을 적용한 뒤 다시 검사한다. --fail-on high는 심각도가 높음 이상인 결과가 있을 때 0이 아닌 종료 코드를 반환하고, --sarif는 GitHub Code Scanning용 결과를 출력한다. --offline 검사를 하려면 먼저 자문 데이터베이스를 동기화해야 한다. 자세한 내용은 프로젝트 저장소와 CLI 안내서를 참고할 수 있다.
이 도구는 취약점 식별자만 보여주는 대신 복사해 실행할 수 있는 패키지 관리자별 수정 명령과 전이 의존성의 상위 패키지 업그레이드 안내를 제공한다고 설명한다. 오프라인 자문 데이터베이스, HTML 보고서, SARIF·JSON 출력, SPDX·CycloneDX SBOM 생성도 지원한다. 다만 악성 패키지를 자문 데이터에 등록되기 전에 탐지하거나, 악성코드 동작을 분석하고 취약점의 실제 악용 가능성이나 런타임 도달 가능성을 입증하지는 않는다. 컨테이너 이미지·바이너리·비밀 정보·IaC도 검사 대상이 아니며, 현재 초점은 JS/TS 의존성이다.
설치 과정에는 로컬 자문 데이터베이스에 쓰이는 네이티브 SQLite 바인딩 better-sqlite3가 포함된다. 사전 빌드 바이너리가 없으면 설치 과정에서 C/C++ 도구 체인으로 컴파일할 수 있다. 온라인 검사는 이 바인딩 없이도 작동하지만, 오프라인 검사와 자문 데이터베이스 관련 기능에는 설치 스크립트가 완료되어야 한다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요