osv-scanner-mcp 0.1.11 → 0.1.12

package/README.md

@@ -205,7 +205,8 @@ Java(Maven)プロジェクトをスキャンし、既知の脆弱性レポート
       "ecosystem": "Maven",
       "recommended_upgrade": "2.25.4",
       "upgrade_tier": "major_internal",
-      "upgrade_note": "2.14系統向けの修正版は存在しない。同一メジャー(2.x)内では2.25.4が7件のCVEを解消する最小版",
+      "verification": "verified",
+      "upgrade_note": "取得済みの影響範囲に基づき修正対象CVEの範囲外と確認した候補です",
       "per_cve_detail": [
         { "id": "GHSA-jfh8-c2jp-5v3q", "cve": "CVE-2021-44228", "severity": "critical", "fixed_in": "2.15.0", "tier": "major_internal" }
       ]
@@ -214,8 +215,10 @@ Java(Maven)プロジェクトをスキャンし、既知の脆弱性レポート
 }
 ```
 
-- `recommended_upgrade` は「修正可能な全CVEを解消できる最小バージョン」(CVEごとのTier結果の最大値)
-- 修正版が存在しない(または現在より新しい修正版がない)CVEは `tier: "unfixed"` として明示し、推奨計算から除外します。全CVEがunfixedの場合 `recommended_upgrade` は `null`
+- `recommended_upgrade` は既知の修正版を候補に、修正対象の全CVEの影響範囲外と確認できたものを3段階Tier順・バージョン昇順で選びます。CVEごとの修正版の最大値を単純に採用せず、別系統で再び影響を受ける候補も除外します。全公開版の中での最小性や未検出の脆弱性がないことは保証しません。
+- MavenのOSV `ECOSYSTEM` 範囲(`introduced` / `fixed` / `last_affected` / 上限なし)を照合します。`versions` に明示された影響も確認します。範囲欠落・不正・未対応形式・`limit` による不完全な情報では安全と推定せず、候補を検証できなければ `recommended_upgrade: null`、`verification: "no_verified_candidate"` を返します。
+- 推奨時は `verification: "verified"`、CVEごとの `recommended_status` は `affected` / `not_affected` / `unknown` です。推奨保留時は `not_evaluated` になります。`per_cve_detail.fixed_in` は各CVE単独の候補であり、最終推奨先の判定は `recommended_status` を参照してください。
+- 現在より新しい修正版候補がないCVEは `tier: "unfixed"` として推奨の修正対象から除外します(情報欠落を含む場合があります)。除外したCVEも推奨先で判定し、その状態を表示します。全CVEがunfixedの場合も `recommended_upgrade` は `null` です。
 
 ### `explain_vulnerability`
 

package/dist/index.js

@@ -32,7 +32,7 @@ if (startupWarning !== null) {
 // NOTE: リリース時はpackage.jsonのversionと同じ値に更新すること
 const server = new McpServer({
     name: "osv-scanner-mcp",
-    version: "0.1.11",
+    version: "0.1.12",
 });
 server.registerTool("scan_java_project", {
     title: "Javaプロジェクトの脆弱性スキャン",
@@ -52,7 +52,8 @@ server.registerTool("suggest_fix", {
         "現在のバージョンに最も近いリリース系統の修正版を優先する3段階フォールバック" +
         "(same_minor: 同一major.minor系統内 → major_internal: 同一メジャー内 → cross_major: メジャーアップグレード)で選定し、" +
         "推奨バージョン・アップグレード距離(upgrade_tier)・CVEごとの修正版を返す。" +
-        "修正版が存在しないCVEはunfixedとして明示する。Maven(pom.xml)とGradle(gradle.lockfile)に対応。",
+        "候補を全修正対象CVEの影響範囲と照合し、情報不足の場合は推奨を保留する。" +
+        "現在より新しい修正版候補のないCVEはunfixedとして別表示し、推奨先での判定も返す。Maven(pom.xml)とGradle(gradle.lockfile)に対応。",
     inputSchema: {
         project_path: z
             .string()

package/dist/osv/affectedVersions.js

@@ -0,0 +1,97 @@
+import { compareMavenVersions } from "../utils/mavenVersion.js";
+import { asArray, asRecord, asString } from "../utils/unknownJson.js";
+/** Preserve uncertainty: unsupported or malformed ranges cannot prove a candidate safe. */
+export function extractAffectedVersions(details, ids, name, ecosystem) {
+    const evidence = { complete: ecosystem === "Maven", intervals: [], versions: [] };
+    if (ids.length === 0 || ids.some(id => !details.some(d => d.id === id)))
+        evidence.complete = false;
+    for (const detail of details) {
+        let matched = false;
+        for (const raw of asArray(detail.affected)) {
+            const affected = asRecord(raw);
+            const pkg = asRecord(affected?.package);
+            if (asString(pkg?.name) !== name || asString(pkg?.ecosystem) !== ecosystem) {
+                if (!asString(pkg?.name) || !asString(pkg?.ecosystem))
+                    evidence.complete = false;
+                continue;
+            }
+            matched = true;
+            if (affected?.versions !== undefined && !Array.isArray(affected.versions))
+                evidence.complete = false;
+            for (const version of asArray(affected?.versions)) {
+                const value = asString(version);
+                if (!value)
+                    evidence.complete = false;
+                else
+                    evidence.versions.push(value);
+            }
+            const ranges = asArray(affected?.ranges);
+            // A versions-only list does not establish that unlisted releases are unaffected.
+            if (ranges.length === 0)
+                evidence.complete = false;
+            for (const rawRange of ranges) {
+                const range = asRecord(rawRange);
+                if (range?.type !== "ECOSYSTEM") {
+                    evidence.complete = false;
+                    continue;
+                }
+                const events = asArray(range.events);
+                let start = null;
+                let previousEnd = null;
+                let previousInclusive = false;
+                if (events.length === 0)
+                    evidence.complete = false;
+                for (const rawEvent of events) {
+                    const event = asRecord(rawEvent);
+                    const keys = event ? Object.keys(event) : [];
+                    const kind = keys[0];
+                    const value = kind ? asString(event?.[kind]) : null;
+                    if (keys.length !== 1 || !value || !["introduced", "fixed", "last_affected", "limit"].includes(kind)) {
+                        evidence.complete = false;
+                        continue;
+                    }
+                    if (kind === "introduced") {
+                        if (start !== null || (previousEnd !== null && (value === "0" ||
+                            compareMavenVersions(value, previousEnd) < 0 ||
+                            (previousInclusive && compareMavenVersions(value, previousEnd) === 0))))
+                            evidence.complete = false;
+                        start = value;
+                    }
+                    else {
+                        if (start === null) {
+                            evidence.complete = false;
+                            continue;
+                        }
+                        const inclusive = kind === "last_affected";
+                        if (start !== "0" && (compareMavenVersions(start, value) > 0 ||
+                            (!inclusive && compareMavenVersions(start, value) === 0)))
+                            evidence.complete = false;
+                        evidence.intervals.push({ introduced: start, end: value, inclusive });
+                        // limit bounds known affected versions, but is not evidence of a fix beyond it.
+                        if (kind === "limit")
+                            evidence.complete = false;
+                        previousEnd = value;
+                        previousInclusive = inclusive;
+                        start = null;
+                    }
+                }
+                if (start !== null)
+                    evidence.intervals.push({ introduced: start, end: null, inclusive: false });
+            }
+        }
+        if (!matched)
+            evidence.complete = false;
+    }
+    if (details.length === 0)
+        evidence.complete = false;
+    return evidence;
+}
+export function candidateStatus(evidence, version) {
+    if (!evidence)
+        return "unknown";
+    if (evidence.versions.some(v => compareMavenVersions(v, version) === 0) || evidence.intervals.some(r => (r.introduced === "0" || compareMavenVersions(version, r.introduced) >= 0) &&
+        (r.end === null || compareMavenVersions(version, r.end) < 0 ||
+            (r.inclusive && compareMavenVersions(version, r.end) === 0))))
+        return "affected";
+    return evidence.complete ? "not_affected" : "unknown";
+}

package/dist/osv/scanReport.js

@@ -14,6 +14,7 @@
  */
 import { compareMavenVersions } from "../utils/mavenVersion.js";
 import { asArray, asRecord, asString, asStrings } from "../utils/unknownJson.js";
+import { extractAffectedVersions } from "./affectedVersions.js";
 /** 外部由来のsummaryをLLMに渡す際の長さ上限(プロンプト肥大・DoS対策) */
 const MAX_SUMMARY_LENGTH = 500;
 const CVSS_CRITICAL = 9.0;
@@ -65,7 +66,7 @@ function extractSummary(vulnDetails) {
  * OSVエントリの`affected[].ranges[].events[].fixed`から修正版を収集する。
  * 1つのOSVエントリが複数パッケージをカバーしうるため、対象パッケージ名で絞り込む。
  */
-function extractFixedVersions(vulnDetails, packageName) {
+function extractFixedVersions(vulnDetails, packageName, ecosystem) {
     const versions = new Set();
     for (const detail of vulnDetails) {
         for (const affectedRaw of asArray(detail.affected)) {
@@ -73,9 +74,11 @@ function extractFixedVersions(vulnDetails, packageName) {
             if (!affected)
                 continue;
             const affectedName = asString(asRecord(affected.package)?.name);
-            if (affectedName !== null && affectedName !== packageName)
+            if (affectedName !== packageName || asString(asRecord(affected.package)?.ecosystem) !== ecosystem)
                 continue;
             for (const rangeRaw of asArray(affected.ranges)) {
+                if (asRecord(rangeRaw)?.type !== "ECOSYSTEM" || ecosystem !== "Maven")
+                    continue;
                 for (const eventRaw of asArray(asRecord(rangeRaw)?.events)) {
                     const fixed = asString(asRecord(eventRaw)?.fixed);
                     if (fixed !== null && fixed !== "")
@@ -139,7 +142,8 @@ export function parseOsvScanOutput(raw) {
                     severity_score: score,
                     severity: severityFromScore(score),
                     summary: extractSummary(vulnDetails),
-                    fixed_versions: extractFixedVersions(vulnDetails, name),
+                    fixed_versions: extractFixedVersions(vulnDetails, name, ecosystem),
+                    affected_versions: extractAffectedVersions(vulnDetails, ids, name, ecosystem),
                 });
             }
         }

package/dist/osv/suggestFix.js

@@ -10,11 +10,12 @@
  *   Tier 2 (major_internal): 同一メジャー内の最小の修正版(マイナーバージョンアップ)
  *   Tier 3 (cross_major):    全体最小の修正版(メジャーアップグレード、破壊的変更の可能性)
  *
- * パッケージ全体の推奨(recommended_upgrade)は全CVEのTier結果の最大値
- * (= すべての修正可能なCVEを解消できる最小バージョン)。
+ * パッケージ全体の候補を全修正対象CVEの影響範囲と照合して推奨する。
+ * 判定不能な候補は推奨しない。
  * 現在より新しい修正版が存在しないCVEはunfixedとして明示し、推奨計算から除外する。
  */
 import { compareMavenVersions, mavenVersionSeries } from "../utils/mavenVersion.js";
+import { candidateStatus } from "./affectedVersions.js";
 function classifyTier(currentSeries, candidate) {
     const candidateSeries = mavenVersionSeries(candidate);
     if (currentSeries === null || candidateSeries === null)
@@ -48,26 +49,26 @@ function pickFixForCve(currentVersion, currentSeries, fixedVersions) {
 }
 function buildNote(currentSeries, recommended, tier, fixableCount, unfixedCount) {
     if (recommended === null) {
-        return `全${unfixedCount}件のCVEに現在より新しい修正版が存在しない(unfixed)`;
+        return `全${unfixedCount}件のCVEに現在より新しい修正版候補がない(unfixed)。修正版情報の欠落を含む可能性があります`;
     }
     const label = currentSeries !== null ? `${currentSeries.major}.${currentSeries.minor}` : null;
     let note;
     switch (tier) {
         case "same_minor":
-            note = `現在の${label}系統内の${recommended}で、修正版が存在する${fixableCount}件のCVEをすべて解消できる`;
+            note = `現在の${label}系統内の候補${recommended}を推奨`;
             break;
         case "major_internal":
-            note = `${label}系統向けの修正版は存在しない。同一メジャー(${currentSeries.major}.x)内では${recommended}が${fixableCount}件のCVEを解消する最小版`;
+            note = `同一メジャー(${currentSeries.major}.x)内の候補${recommended}を推奨`;
             break;
         default:
             note =
                 label !== null
-                    ? `同一メジャー(${currentSeries.major}.x)内に修正版が存在しない。${recommended}へのメジャーアップグレードが必要(破壊的変更の可能性あり)`
-                    : `現在バージョンの系統を判定できないため、全体最小の修正版${recommended}を提示`;
-    }
-    if (unfixedCount > 0) {
-        note += `。残り${unfixedCount}件は修正版が存在せず、このアップグレードでは解消されない`;
+                    ? `候補${recommended}へのメジャーアップグレードを推奨(破壊的変更の可能性あり)`
+                    : `現在バージョンの系統を判定できないため、検証済み候補${recommended}を提示`;
     }
+    note += `。取得済みの影響範囲に基づき修正対象${fixableCount}件のCVEの範囲外と確認しました。全公開版の最小性や未検出の脆弱性がないことは保証しません`;
+    if (unfixedCount > 0)
+        note += `。残り${unfixedCount}件は現在より新しい修正版候補がなく、修正対象から除外しています。recommended_statusを確認してください`;
     return note;
 }
 /** 1パッケージ分のアップグレード提案を組み立てる。 */
@@ -96,11 +97,26 @@ export function suggestUpgradeForPackage(pkg) {
             fixed_in: pick.version,
             tier: pick.tier,
         });
-        if (recommended === null || compareMavenVersions(pick.version, recommended) > 0) {
-            recommended = pick.version;
-        }
     }
     const fixableCount = details.length - unfixedCount;
+    const targets = pkg.vulnerabilities.filter((_, i) => details[i].fixed_in !== null);
+    const candidates = [...new Set(targets.flatMap(v => v.fixed_versions))]
+        .filter(v => compareMavenVersions(v, pkg.version) > 0)
+        .sort(compareMavenVersions);
+    const tierOrder = ["same_minor", "major_internal", "cross_major"];
+    recommended = null;
+    for (const tier of tierOrder) {
+        const candidate = candidates.find(v => classifyTier(currentSeries, v) === tier &&
+            targets.every(target => candidateStatus(target.affected_versions, v) === "not_affected"));
+        if (candidate !== undefined) {
+            recommended = candidate;
+            break;
+        }
+    }
+    for (let i = 0; i < details.length; i++) {
+        details[i].recommended_status = recommended === null ? "not_evaluated" :
+            candidateStatus(pkg.vulnerabilities[i].affected_versions, recommended);
+    }
     // 推奨バージョン自体のTierは「現在バージョンとの系統関係」で再分類する
     // (per-CVEのTierの寄せ集めではなく、実際に行うアップグレードの距離を表す)
     const upgradeTier = recommended !== null ? classifyTier(currentSeries, recommended) : null;
@@ -110,8 +126,11 @@ export function suggestUpgradeForPackage(pkg) {
         ecosystem: pkg.ecosystem,
         recommended_upgrade: recommended,
         upgrade_tier: upgradeTier,
-        upgrade_note: buildNote(currentSeries, recommended, upgradeTier, fixableCount, unfixedCount),
+        upgrade_note: recommended === null && fixableCount > 0
+            ? "既知の修正版候補から、全修正対象CVEの影響範囲外と確認できる版が見つかりません。情報不足・未対応の範囲形式を含む場合も推奨を保留します。"
+            : buildNote(currentSeries, recommended, upgradeTier, fixableCount, unfixedCount),
         per_cve_detail: details,
+        verification: recommended === null ? "no_verified_candidate" : "verified",
     };
 }
 /** スキャンレポート全体からパッケージごとの提案一覧を作る(深刻度順を維持)。 */

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "osv-scanner-mcp",
-  "version": "0.1.11",
+  "version": "0.1.12",
   "description": "MCP server that wraps Google's OSV-Scanner to scan Java projects for known vulnerabilities",
   "type": "module",
   "license": "Apache-2.0",