GitHub השיקה שירות לזיהוי נקודות תורפה בקוד

GitHub объявил לגבי נגישות לכל משתמשי השירות סריקת קוד, שהוצעה בעבר רק למשתתפים בתוכנית מוגבלת לבדיקת תכונות ניסיוניות חדשות. שֵׁרוּת מספק סורק כל פעולת דחיפה של git לאיתור נקודות תורפה אפשריות. התוצאה מצורפת ישירות לבקשת המשיכה. הבדיקה מתבצעת באמצעות המנוע CodeQL, המנתח תבניות עם דוגמאות טיפוסיות של קוד פגיע (CodeQL מאפשר ליצור תבנית קוד פגיע כדי לזהות נוכחות של פגיעות דומה בקוד של פרויקטים אחרים).

במהלך בדיקות בטא של השירות, זוהו יותר מ-12 אלף בעיות אבטחה במהלך סריקה של כ-20 אלף מאגרים, כולל בעיות חמורות המובילות לביצוע קוד מרחוק והחלפת שאילתות SQL. 72% מהבעיות שנמצאו זוהו בשלב הבדיקה של בקשת משיכה, לפני שהיא התקבלה, ותוקנו תוך פחות מ-30 יום (לשם השוואה, סטטיסטיקות כלליות בתעשייה מראה שרק 30% מהחולשות מתוקנות תוך פחות מחודש לאחר הגילוי).

מקור: OpenNet.ru