‫ارتقاء امنیت برنامه‌های دات‌نت از طریق بازرسی بسته‌ها (Package Audits)

dotnet list package --vulnerable --include-transitive

Project `MyProject` has the following vulnerable packages
   [net8.0]:
   Transitive Package      Resolved   Severity   Advisory URL
   System.Text.Json        8.0.0      High       https://github.com/advisories/GHSA-1234

#!/bin/bash
dotnet list package --vulnerable --include-transitive > vuln.txt
if grep -q "has the following vulnerable packages" vuln.txt; then
    echo "Vulnerable packages found. Build failed."
    cat vuln.txt
    exit 1
else
    echo "No vulnerable packages found."
    exit 0
fi

نقش فایل .csproj و ویژگی NuGetAudit

<Project Sdk="Microsoft.NET.Sdk">
    <PropertyGroup>
        <TargetFramework>net8.0</TargetFramework>
        <ImplicitUsings>enable</ImplicitUsings>
        <Nullable>enable</Nullable>
        <NugetAudit>true</NugetAudit>
    </PropertyGroup>

    <ItemGroup>
      <PackageReference Include="Newtonsoft.Json" Version="12.0.3" />
      <PackageReference Include="Refit" Version="7.2.1" />
    </ItemGroup>
</Project>

پیکربندی سطح جزئیات هشدارهای NuGet Audit

• None: هیچ هشدار بازرسی نمایش داده نمی‌شود.
• Low: فقط هشدارهایی برای آسیب‌پذیری‌هایی با شدت پایین (Low) یا بالاتر نمایش داده می‌شوند. این مقدار پیش‌فرض است.
• Moderate: فقط هشدارهایی برای آسیب‌پذیری‌هایی با شدت متوسط (Moderate) یا بالاتر نمایش داده می‌شوند.
• High: فقط هشدارهایی برای آسیب‌پذیری‌هایی با شدت بالا (High) یا بحرانی (Critical) نمایش داده می‌شوند.
• Critical: فقط هشدارهایی برای آسیب‌پذیری‌هایی با شدت بحرانی (Critical) نمایش داده می‌شوند.

<Project Sdk="Microsoft.NET.Sdk">
    <PropertyGroup>
        <TargetFramework>net8.0</TargetFramework>
        <ImplicitUsings>enable</ImplicitUsings>
        <Nullable>enable</Nullable>
        <NugetAudit>true</NugetAudit>
        <NugetAuditLevel>critical</NugetAuditLevel>
    </PropertyGroup>

    <ItemGroup>
      <PackageReference Include="Newtonsoft.Json" Version="12.0.3" />
      <PackageReference Include="Refit" Version="7.2.1" />
    </ItemGroup>
</Project>

اجبار به شکست ساخت در صورت وجود آسیب‌پذیری

<Project Sdk="Microsoft.NET.Sdk">
    <PropertyGroup>
        <TargetFramework>net8.0</TargetFramework>
        <ImplicitUsings>enable</ImplicitUsings>
        <Nullable>enable</Nullable>
        <NugetAudit>true</NugetAudit>
        <NugetAuditLevel>critical</NugetAuditLevel>
        <WarningsAsErrors>NU1904;</WarningsAsErrors>
    </PropertyGroup>

    <ItemGroup>
      <PackageReference Include="Newtonsoft.Json" Version="12.0.3" />
      <PackageReference Include="Refit" Version="7.2.1" />
    </ItemGroup>
</Project>

• به‌روزرسانی منظم بسته‌ها: همیشه از آخرین نسخه‌های بسته‌ها استفاده کنید، مگر اینکه محدودیت‌های خاصی وجود داشته باشد. برای مثال، به‌روزرسانی بسته‌ای مانند Newtonsoft.Json به نسخه‌ای که آسیب‌پذیری را برطرف کرده، می‌تواند خطر را کاهش دهد.
• بررسی وابستگی‌های غیرمستقیم: بسیاری از آسیب‌پذیری‌ها در وابستگی‌های غیرمستقیم یافت می‌شوند. همیشه از --include-transitive استفاده کنید.
• استفاده از منابع معتبر: اطمینان حاصل کنید که بسته‌ها از منابع معتبر مانند nuget.org دانلود می‌شوند.
• تست پس از به‌روزرسانی: به‌روزرسانی بسته‌ها ممکن است باعث مشکلات سازگاری (Compatibility Issues) شود. بنابراین، تست‌های خودکار و دستی پس از به‌روزرسانی ضروری است.