GitHub a lansat CodeQL 2.27.0, o versiune importantă a motorului de analiză statică folosit de GitHub code scanning. Actualizarea aduce suport nativ pentru Linux ARM64, o interogare nouă de securitate pentru Rust și îmbunătățiri semnificative pentru C#, Java/Kotlin, C/C++ și GitHub Actions.
Pentru organizațiile care rulează infrastructură ARM64, schimbarea elimină nevoia de a folosi distribuții generice sau mecanisme de emulare. CodeQL CLI și bundle-ul pot fi descărcate acum ca asset-uri dedicate linux-arm64.
Îmbunătățiri relevante pentru aplicațiile .NET
În C#, GitHub spune că a îmbunătățit descoperirea controllerelor și acțiunilor ASP.NET Core MVC astfel încât analiza să reproducă mai fidel comportamentul runtime. Sunt acoperite mai bine application parts, endpoint mappings, acțiunile moștenite și excluderile de controllere sau acțiuni.
CodeQL 2.27.0 adaugă și taint tracking pentru parametrizarea acțiunilor OData, ceea ce poate îmbunătăți detectarea vulnerabilităților în care datele controlate de utilizator ajung în fluxuri periculoase prin ODataActionParameters sau obiecte Delta. În build-mode none, CodeQL încearcă acum să restaureze proiectele și soluțiile folosind feed-urile NuGet disponibile și raportează explicit sursele configurate care nu pot fi accesate.
Rust, SQL injection și GitHub Actions
Pentru Rust apare o interogare dedicată detectării command-line injection. Pentru C/C++, funcțiile libpq PostgreSQL precum PQexec și PQprepare sunt modelate ca SQL injection sinks. În GitHub Actions, evaluarea verificărilor author-association a fost rafinată pentru a nu considera drept protecție condiții care nu sunt susținute efectiv de payload-ul evenimentului.
GitHub anunță și deprecarea suportului pentru Java 9 și 10, cu eliminare planificată în ianuarie 2027. Java 7 și 8 vor continua să fie suportate.
Pentru echipele care folosesc code scanning, actualizarea este relevantă deoarece schimbările de modelare pot produce alerte noi chiar fără modificări în cod. Acest lucru nu înseamnă neapărat apariția unor vulnerabilități noi, ci faptul că motorul vede mai bine fluxuri care înainte nu erau modelate complet.
Surse
Foto: Chris Ried / Unsplash. Imagine ilustrativă.
