GitHub sobre la disponibilidad para todos los usuarios del servicio , que anteriormente solo se ofrecía a los participantes de un programa limitado de prueba de nuevas funciones experimentales. El servicio escanea cada operación «git push» en busca de posibles vulnerabilidades. El resultado se adjunta directamente a la solicitud de incorporación. La verificación se realiza utilizando un motor , que analiza patrones con ejemplos típicos de código vulnerable (CodeQL permite crear un patrón de código vulnerable para identificar la existencia de dicha vulnerabilidad en el código de otros proyectos).
Durante la fase de beta testing del servicio, se escanearon alrededor de 12,000 repositorios y se identificaron más de 20,000 problemas de seguridad, incluidos problemas graves que conducen a la ejecución remota de código y a la inyección de consultas SQL. El 72% de los problemas encontrados se identificaron en la etapa de revisión de la solicitud de incorporación, antes de su aceptación, y se solucionaron en menos de 30 días (en comparación, las estadísticas generales de la industria muestran que solo el 30% de las vulnerabilidades se corrigen en menos de un mes después de su descubrimiento).
Fuente: opennet.ru
