agent-master-devsecops 3.9.0 → 5.1.0

package/scripts/sca_dependency_auditor.js

@@ -1,167 +0,0 @@
-/**
- * scripts/sca_dependency_auditor.js
- * Auditor Offline de Composição de Software (SCA) & Conformidade de Licenças
- * 
- * Implementa inspeção estática em manifestos package.json:
- * - Auditoria de vulnerabilidades conhecidas (CVEs clássicas / CWE-1395)
- * - Auditoria de licenças restritivas (GPL, AGPL, SSPL) vs permissivas (MIT, Apache-2.0, BSD, ISC)
- * - Detecção de versões não determinísticas (wildcards: "*", "latest")
- * - Cálculo de índice de risco de dependências de terceiros
- */
-'use strict';
-
-const fs = require('fs');
-const path = require('path');
-
-// Catálogo de licenças com restrições copyleft estritas (risco comercial)
-const RESTRICTIVE_LICENSES = ['GPL-2.0', 'GPL-3.0', 'AGPL-3.0', 'SSPL', 'LGPL-3.0', 'GPL', 'AGPL'];
-
-// Base de conhecimento offline de vulnerabilidades críticas conhecidas em dependências comuns
-const KNOWN_VULNERABLE_PACKAGES = [
-  {
-    name: 'lodash',
-    affectedVersionRegex: /^([0-3]\.|4\.(0|1[0-6]\.|17\.[0-9]\b|17\.1[0-9]\b|17\.20\b))/,
-    cve: 'CVE-2020-8203 / CWE-1321',
-    severity: 'ALTA',
-    description: 'Poluição de Protótipo (Prototype Pollution) via zipObjectDeep e defaultsDeep.',
-    recommendation: 'Atualize para lodash >= 4.17.21'
-  },
-  {
-    name: 'axios',
-    affectedVersionRegex: /^(0\.(1[0-9]\.|2[0-1]\.[0-1]\b))/,
-    cve: 'CVE-2020-28168 / CWE-918',
-    severity: 'ALTA',
-    description: 'Server-Side Request Forgery (SSRF) e vazamento de cabeçalho de autorização em redirects.',
-    recommendation: 'Atualize para axios >= 0.21.2 ou >= 1.x'
-  },
-  {
-    name: 'tar',
-    affectedVersionRegex: /^([0-5]\.|6\.(0\.|1\.[0-8]\b))/,
-    cve: 'CVE-2021-37712 / CWE-22',
-    severity: 'ALTA',
-    description: 'Path Traversal e sobrescrita arbitrária de arquivos durante extração de tarballs.',
-    recommendation: 'Atualize para tar >= 6.1.9'
-  },
-  {
-    name: 'minimist',
-    affectedVersionRegex: /^([0-1]\.(0\.|1\.|2\.[0-5]\b))/,
-    cve: 'CVE-2020-7598 / CWE-1321',
-    severity: 'MÉDIA',
-    description: 'Prototype Pollution em argumento de linha de comando.',
-    recommendation: 'Atualize para minimist >= 1.2.6'
-  },
-  {
-    name: 'shell-quote',
-    affectedVersionRegex: /^(1\.[0-6]\.|1\.7\.[0-2]\b)/,
-    cve: 'CVE-2021-42740 / CWE-78',
-    severity: 'CRÍTICA',
-    description: 'Command Injection via caracteres de escape mal formatados.',
-    recommendation: 'Atualize para shell-quote >= 1.7.3'
-  }
-];
-
-/**
- * Normaliza e parseia manifesto package.json.
- * @param {string|object} input 
- * @returns {object}
- */
-function resolveManifest(input) {
-  if (typeof input === 'object' && input !== null) {
-    return input;
-  }
-  if (typeof input === 'string') {
-    if (fs.existsSync(input)) {
-      return JSON.parse(fs.readFileSync(input, 'utf8'));
-    }
-    return JSON.parse(input);
-  }
-  throw new Error('Entrada inválida para manifesto package.json.');
-}
-
-/**
- * Audita um manifesto package.json para SCA e conformidade de licenças.
- * @param {string|object} manifestInput 
- * @param {object} [options={}]
- * @returns {object}
- */
-function auditDependenciesSCA(manifestInput, options = {}) {
-  let manifest;
-  try {
-    manifest = resolveManifest(manifestInput);
-  } catch (err) {
-    return {
-      approved: false,
-      error: `Falha ao carregar manifesto: ${err.message}`,
-      vulnerabilities: [],
-      licenseIssues: []
-    };
-  }
-
-  const prodDeps = manifest.dependencies || {};
-  const devDeps = manifest.devDependencies || {};
-  const allDeps = { ...prodDeps, ...devDeps };
-
-  const vulnerabilities = [];
-  const licenseIssues = [];
-  const wildcardIssues = [];
-
-  // 1. Auditoria de Licença do Próprio Pacote
-  const projectLicense = manifest.license || 'UNLICENSED';
-  if (RESTRICTIVE_LICENSES.some(lic => String(projectLicense).toUpperCase().includes(lic))) {
-    licenseIssues.push({
-      package: manifest.name || 'root-project',
-      license: projectLicense,
-      severity: 'ALTA',
-      message: `Licença restritiva detectada: ${projectLicense}. Pode exigir abertura compulsória do código-fonte.`
-    });
-  }
-
-  // 2. Auditoria de Versões e Vulnerabilidades Conhecidas
-  for (const [pkgName, versionSpec] of Object.entries(allDeps)) {
-    const rawVersion = String(versionSpec).replace(/^[\^~>=<]+/, '').trim();
-
-    // Checagem de Wildcard (reprodutibilidade)
-    if (versionSpec === '*' || versionSpec === 'latest') {
-      wildcardIssues.push({
-        package: pkgName,
-        version: versionSpec,
-        severity: 'MÉDIA',
-        message: `Uso de versão não determinística ("${versionSpec}"). Fere a Regra 1 de reprodutibilidade.`
-      });
-    }
-
-    // Checagem de CVEs conhecidas
-    for (const vuln of KNOWN_VULNERABLE_PACKAGES) {
-      if (vuln.name === pkgName && vuln.affectedVersionRegex.test(rawVersion)) {
-        vulnerabilities.push({
-          package: pkgName,
-          installedVersion: versionSpec,
-          severity: vuln.severity,
-          cve: vuln.cve,
-          description: vuln.description,
-          recommendation: vuln.recommendation
-        });
-      }
-    }
-  }
-
-  const criticalOrHighVulns = vulnerabilities.filter(v => v.severity === 'CRÍTICA' || v.severity === 'ALTA');
-  const approved = criticalOrHighVulns.length === 0 && licenseIssues.length === 0;
-
-  return {
-    approved,
-    totalDependencies: Object.keys(allDeps).length,
-    vulnerabilitiesCount: vulnerabilities.length,
-    criticalVulnerabilities: criticalOrHighVulns.length,
-    vulnerabilities,
-    licenseIssues,
-    wildcardIssues,
-    verdict: approved ? 'CONFORME' : 'VETADO'
-  };
-}
-
-module.exports = {
-  auditDependenciesSCA,
-  RESTRICTIVE_LICENSES,
-  KNOWN_VULNERABLE_PACKAGES
-};