A GitHub bejelentette, hogy a Code scanning szolgáltatáshoz egy kísérleti gépi tanulási rendszert adtak hozzá, amely a kódban elterjedt sebezhetőségi típusokat képes észlelni. A tesztelés során az új funkció egyelőre csak JavaScript és TypeScript nyelven íródott kódok számára érhető el. Megjegyzik, hogy a gépi tanulási rendszer alkalmazása lehetővé tette a problémák szélesebb spektrumának észlelését, amikor a rendszer már nem korlátozódik az előre meghatározott minták ellenőrzésére, és nem kötődik a jól ismert keretrendszerekhez. Az új rendszer által észlelt problémák közé tartoznak a kereszthelyszíni szkriptek (XSS) valamint a fájlútvonalak torzítása (például "\/.." megadása), SQL és NoSQL lekérdezések beillesztése.
A Code scanning szolgáltatás lehetővé teszi a sebezhetőségek korai észlelését a fejlesztési fázisban a "git push" műveletek minden egyes alkalommal történő átvizsgálásával a potenciális problémákért. Az eredmény közvetlenül a pull kérelemhez van csatolva. Korábban az ellenőrzést a CodeQL motor segítségével végezték, amely a sebezhető kód tipikus példáival elemzi a mintákat (a CodeQL lehetővé teszi sebezhető kód minta létrehozását, hogy más projektek kódjában is észlelhető legyen a hasonló sebezhetőség). Az új motor, amely a gépi tanulást használja, eddig ismeretlen sebezhetőségeket is képes meghatározni, mivel nem kötődik a specifikus sebezhetőségeket leíró kódminták előállításához. E lehetőség ára a CodeQL alapú ellenőrzésekhez képest a hamis riasztások számának növekedése.
Forrás: opennet.ru
