GitHub rend publique la fonctionnalité de numérisation de la vulnérabilité de code

Un an après l’acquisition du spécialiste de la numérisation de la sécurité logicielle Semmle, et à la suite d’un processus bêta réussi de cinq mois, GitHub rend ses capacités d’analyse de code CodeQL accessibles au public, aidant les équipes et les individus à faire plus pour créer des applications sécurisées via une approche axée sur la communauté, développeur d’abord.

Au cours du processus bêta, 12 000 référentiels ont été scannés 1,4 million de fois, et plus de 20 000 problèmes de sécurité ont été découverts, y compris de multiples instances d’exécution de code à distance (RCE), d’injection SQL et de vulnérabilités de script de site croisé (XSS).

GitHub a déclaré que les développeurs et les responsables de la fonction en utilisant la fonctionnalité ont corrigé près des trois quarts des bogues divulgués au cours des 30 derniers jours – un bond substantiel étant donné que, en général, moins d’un tiers des bogues sont corrigés dans un mois.

Justin Hutchings, chef de produit de GitHub, a déclaré qu’une fois intégré à GitHub Actions ou à l’environnement CI/CD existant d’un utilisateur, le service maximiserait la flexibilité pour les équipes de développement.

« Au lieu de vous submerger avec des suggestions de linting, l’analyse de code exécute uniquement les règles de sécurité exploitables par défaut, de sorte que vous pouvez rester concentré sur la tâche à accomplir », a déclaré Hutchings.

« l analyse le code tel qu’il est créé et les surfaces des revues de sécurité exploitables dans les demandes d’attraction et d’autres expériences GitHub que vous utilisez tous les jours, automatisant la sécurité dans le cadre de votre flux de travail. Cela permet de s’assurer que les vulnérabilités ne parsent jamais à la production en premier lieu.

La plate-forme a également enregistré 132 contributions communautaires à l’ensemble de requêtes à source ouverte de CodeQL, et s’est associée à plusieurs fournisseurs de sécurité dans l’espace open source et commercial pour permettre aux développeurs d’exécuter des solutions CodeQL et de l’industrie pour les tests statiques de sécurité des applications (Sast), l’analyse de conteneurs et l’infrastructure en tant que validation de code côte à côte dans l’expérience de numérisation de code natif de GitHub.

Les utilisateurs seront également en mesure d’intégrer des moteurs de numérisation tiers pour afficher les résultats de tous leurs outils de sécurité dans une seule interface, et d’exporter plusieurs résultats d’analyse à travers une seule API. Hutchings a déclaré GitHub prévu de partager plus sur ses capacités d’extensibilité bientôt.

Le service sera offert gratuitement pour les référentiels github publics, et plus de détails sur la façon de permettre cela peut être trouvé en ligne. La fonctionnalité sera mise à la disposition des référentiels privés par l’intermédiaire des options de sécurité avancée payante de GitHub Enterprise.

Les utilisateurs intéressés à aider à sécuriser l’écosystème open source sont, comme toujours, invités à intervenir et à contribuer à la communauté CodeQL sur GitHub.