GitHubがコードの脆弱性を特定するサービスを開始

GitHubの объявил サービスのすべてのユーザーのアクセシビリティについて コードスキャン、これまでは、新しい実験的な機能をテストするための限定されたプログラムの参加者にのみ提供されていました。 サービス 提供 すべての git プッシュ操作をスキャンして潜在的な脆弱性を探します。 結果はプル リクエストに直接添付されます。 チェックはエンジンを使用して実行されます コードQL、脆弱なコードの典型的な例を含むテンプレートを分析します (CodeQL を使用すると、脆弱なコード テンプレートを生成して、他のプロジェクトのコードに同様の脆弱性が存在するかどうかを識別できます)。

このサービスのベータ テスト中に、約 12 のリポジトリのスキャン中に 20 件を超えるセキュリティ上の問題が特定されました。その中には、リモート コードの実行や SQL クエリの置換につながる重大な問題も含まれていました。 見つかった問題の 72% は、プル リクエストが受け入れられる前のレビュー段階で特定され、30 日以内に修正されました (比較のために、一般的な業界統計によると、30 か月以内に修正された脆弱性はわずか XNUMX% です)発見後）。

出所： オープンネット.ru