GitHub je pokrenuo servis za identifikaciju ranjivosti u kodu

GitHub je napovedal o dostopnosti za vse uporabnike storitve Preverjanje kode, ki je bila prej na voljo le udeležencem omejenega programa za testiranje novih eksperimentalnih funkcij. Storitev fornece preverja vsako operacijo „git push“ za morebitne ranljivosti. Rezultat se neposredno priloži pull-zahtjevu. Preverjanje poteka z uporabo motorja CodeQL, ki analizira vzorce z običajnimi primeri ranljive kode (CodeQL omogoča oblikovanje vzorca ranljive kode za odkrivanje prisotnosti podobnih ranljivosti v kodi drugih projektov).

Med beta-testiranjem storitve je bilo med skeniranjem približno 12 tisoč repozitorijev odkrito več kot 20 tisoč težav s varnostjo, med katerimi so bile tudi resne težave, ki so vodile do oddaljenega izvajanja kode in vstavljanja SQL poizvedb. 72 % najdenih težav je bilo odkritih v fazi pregleda pull-zahtjevov, preden je bil sprejet, in odpravljenih v manj kot 30 dneh (za primerjavo, splošna statistika v industriji kaže, da se le 30 % ranljivosti odpravi v manj kot mesecu dni po odkritju).

Izvor: opennet.ru