GitHub anunció la incorporación de un sistema experimental de aprendizaje automático a su servicio de escaneo de código para identificar tipos comunes de vulnerabilidades en el código. En la etapa de prueba, la nueva funcionalidad actualmente solo está disponible para repositorios con código en JavaScript y TypeScript. Cabe señalar que el uso de un sistema de aprendizaje automático ha permitido ampliar significativamente la gama de problemas identificados, al analizar cuáles el sistema ya no se limita a verificar plantillas estándar y no está vinculado a marcos conocidos. Entre los problemas identificados por el nuevo sistema, se mencionan errores que conducen a cross-site scripting (XSS), distorsión de las rutas de los archivos (por ejemplo, mediante la indicación “/..”), sustitución de consultas SQL y NoSQL.
El servicio de escaneo de código le permite identificar vulnerabilidades en una etapa temprana de desarrollo al escanear cada operación de "git push" en busca de problemas potenciales. El resultado se adjunta directamente a la solicitud de extracción. Anteriormente, la verificación se realizaba utilizando el motor CodeQL, que analiza plantillas con ejemplos típicos de código vulnerable (CodeQL permite crear una plantilla de código vulnerable para identificar la presencia de una vulnerabilidad similar en el código de otros proyectos). El nuevo motor, que utiliza aprendizaje automático, puede identificar vulnerabilidades previamente desconocidas porque no está vinculado a la enumeración de plantillas de código que describen vulnerabilidades específicas. El costo de esta función es un aumento en la cantidad de falsos positivos en comparación con las comprobaciones basadas en CodeQL.
Fuente: opennet.ru