GitHub、脆弱性スキャンツールを正式リリース - ベータテストで2万件を発見

GitHubは、ソースコードより脆弱性を発見し、開発者へ修正提案を行う機能「Code Scanning」をリリースした。

同社が2019年9月に買収したSammleのコード解析技術を活用したもの。5月に同機能をGitHubへ統合した初回ベータ版をリリース。テストやフィードバックなどを経て今回正式にリリースした。パブリックリポジトリで利用できる。

解析ツール「CodeQL」において、GitHubやコミュニティが作成した2000件以上のクエリや、カスタムクエリを用いてソースコードをスキャンすることが可能。スキャン後は、プルリクエストとして修正すべき点を表示。効果が少ない大量の修正提案を示すのではなく、修正すべき提案に絞り込み表示するとしている。

「SARIF」に基づき開発されているため、アプリケーションセキュリティテストソリューションをワークフローに取り込むことができるほか、サードパーティ製のスキャンエンジンの統合なども行える。

ベータ公開時には、1万2000以上のリポジトリに対し、140万回のスキャンを実行。リモートよりコードの実行が可能となる脆弱性をはじめ、SQLインジェクション、クロスサイトスクリプティング（XSS）など、2万件以上のセキュリティに関する問題を発見したという。

（Security NEXT - 2020/10/06 ） ツイート

PR

関連記事

メールを「CC」送信で学生のメアド流出 - 神戸外大生協
国内外子会社が相次いでサイバー攻撃の被害 - ジャノメ
京都市内で顧客預託書類632件を発見、経緯不明 - 日本郵便
プラネックス製モバイルルータ「ちびファイ4」に脆弱性
システム障害が発生、原因や影響を調査 - 黒金化成
「JVN iPedia」の脆弱性登録、2四半期連続で1万件超
「Docker Compose」にパストラバーサル脆弱性 - 修正版を公開
「Firefox」にセキュリティアップデート- UAF脆弱性を修正
資産管理製品「IBM MAS」に深刻な脆弱性 - 修正を強く推奨
製造業向けシステム「DELMIA Apriso」の脆弱性攻撃に注意 - 直近3カ月で3件