GitHub heeft aangekondigd een experimenteel machine learning-systeem toe te voegen aan de Code scanning-service voor het detecteren van veelvoorkomende soorten kwetsbaarheden in code. In de testfase is deze nieuwe functionaliteit momenteel alleen beschikbaar voor repositories met code geschreven in JavaScript en TypeScript. Het gebruik van het machine learning-systeem heeft de reikwijdte van de detecteerbare problemen aanzienlijk vergroot, waarbij het systeem nu niet beperkt is tot het controleren van standaard sjablonen en niet gebonden is aan bekende frameworks. Onder de nieuwe problemen die door het systeem worden gedetecteerd, worden fouten genoemd die leiden tot cross-site scripting (XSS), vervorming van bestandsroutes (bijvoorbeeld door het gebruik van "\/.."), en het injecteren van SQL- en NoSQL-query's.
De Code scanning-service maakt het mogelijk om kwetsbaarheden in een vroeg stadium van de ontwikkeling te identificeren door elke ‘git push’-bewerking te scannen op potentiële problemen. Het resultaat wordt direct aan de pull-verzoek toegevoegd. Voorheen werd de controle uitgevoerd met behulp van de CodeQL-engine, die patronen analyseert met standaardvoorbeelden van kwetsbare code (CodeQL stelt je in staat om een sjabloon voor kwetsbare code te maken om te controleren op de aanwezigheid van dergelijke kwetsbaarheden in de code van andere projecten). De nieuwe engine, die machine learning gebruikt, kan eerder onbekende kwetsbaarheden bepalen omdat deze niet gebonden is aan het doorlopen van codepatronen die specifieke kwetsbaarheden beschrijven. De prijs van deze mogelijkheid is een toename van het aantal valse positieven vergeleken met controles op basis van CodeQL.
Bron: opennet.ru
