GitHub a lancé un service pour détecter les vulnérabilités dans le code

GitHub a annoncé à la disponibilité du service pour tous les utilisateurs Analyse de code, qui était auparavant proposé uniquement aux participants d'un programme limité de test de nouvelles fonctionnalités expérimentales. Le service assure analyse chaque opération «git push» à la recherche de vulnérabilités potentielles. Le résultat est directement attaché à la demande de tirage. La vérification est effectuée à l'aide d'un moteur CodeQL, analysant des modèles avec des exemples typiques de code vulnérable (CodeQL permet de créer un modèle de code vulnérable pour identifier la présence d'une telle vulnérabilité dans le code d'autres projets).

Au cours de la phase de test bêta du service, environ 12 000 dépôts ont été analysés, révélant plus de 20 000 problèmes de sécurité, parmi lesquels des problèmes sérieux entraînant l'exécution de code à distance et l'injection de requêtes SQL. 72 % des problèmes identifiés l'ont été lors de l'examen de la demande de tirage, avant son acceptation, et ont été corrigés en moins de 30 jours (pour comparaison, les statistiques générales de l'industrie montrent que seulement 30 % des vulnérabilités sont corrigées en moins d'un mois après leur découverte).

Source : opennet.ru