搜索

[28615] 2020-10-02_GitHub工具发现代码存在安全漏洞

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-10-02_GitHub工具发现代码存在安全漏洞 G i t H u b 工 具 发 现 代 码 存 在 安 全 漏 洞 O t s 安 全   2 0 2 0 - 1 0 - 0 2 G i t H u b 在 过 去 几 个 月 中 一 直 在 测 试 的 代 码 扫 描 功 能 现 已 普 遍 提 供 给 使 用 该 平 台 作 为 其 软 件 开 发 过 程 一 部 分 的 组 织 。 扫 描 程 序 基 于 C o d e Q L ， 这 是 一 种 代 码 分 析 技 术 ， G i t H u b 是 去 年 从 其 收 购 S e m m l e 时 获 得 的 。 它 为 开 发 人 员 提 供 了 一 种 在 开 发 过 程 中 扫 描 代 码 中 的 安 全 漏 洞 并 在 代 码 投 入 生 产 之 前 解 决 问 题 的 方 法 。 G i t H u b 在 今 年 早 些 时 候 的 G i t H u b   S a t e l l i t e 虚 拟 活 动 中 发 布 了 本 机 集 成 代 码 扫 描 器 的 第 一 个 B e t a 。 G i t H u b 产 品 经 理 J u s t i n   H u t c h i n g s 说 ， 自 那 时 以 来 ， 已 有 6 , 0 0 0 多 个 用 户 帐 户 （ 属 于 个 人 和 组 织 ） 在 其 G i t H u b 存 储 库 上 启 用 了 代 码 扫 描 。 自 扫 描 器 进 入 测 试 版 以 来 ， G i t H u b 上 的 超 过 1 2 , 0 0 0 个 存 储 库 已 被 扫 描 共 1 4 0 万 次 。 在 此 期 间 ， 扫 描 仪 揪 出 帮 助 存 储 在 G i t H u b 代 码 2 0 0 0 0 个 多 安 全 问 题 ， 包 括 远 程 执 行 漏 洞 ， S Q L 注 入 错 误 和 跨 站 点 脚 本 缺 陷 ， 根 据 G i t H u b 上 。 H u t c h i n g s 说 ： “ 由 于 他 们 的 测 试 和 反 馈 ， 我 们 相 信 代 码 扫 描 已 为 更 广 泛 的 社 区 做 好 了 准 备 。 ”   “ 代 码 扫 描 测 试 版 证 明 了 以 下 假 设 ： 如 果 您 首 先 为 开 发 人 员 构 建 安 全 工 具 ， 开 发 人 员 将 使 用 它 。 根 据 H u t c h i n g s 的 说 法 ， G i t H u b 根 据 代 码 扫 描 仪 的 b e t a 用 户 的 反 馈 对 产 品 进 行 了 多 项 改 进 ， 从 而 满 足 了 以 下 要 求 ： 开 源 社 区 和 商 业 组 织 。 当 前 在 G i t H u b 上 存 储 的 源 代 码 比 任 何 其 他 平 台 都 多 。 全 球 大 约 有 5 0 0 0 万 开 发 人 员 和 2 9 0 万 企 业 共 同 使 用 G i t H u b 托 管 了 惊 人 的 1 亿 个 代 码 存 储 库 。 自 2 0 0 8 年 作 为 个 人 开 发 者 安 全 地 托 管 和 管 理 代 码 修 订 版 本 的 地 方 推 出 以 来 ， G i t H u b 已 发 展 成 为 全 球 管 理 软 件 开 发 项 目 使 用 最 广 泛 的 平 台 。 G i t H u b 在 2 0 1 1 年 推 出 了 该 平 台 的 企 业 版 ， 组 织 可 以 在 内 部 使 用 该 平 台 来 管 理 软 件 项 目 。 2 0 1 7 年 ， 它 推 出 了 该 技 术 的 企 业 云 版 本 。 微 软 在 2 0 1 8 年 以 7 5 亿 美 元 的 价 格 收 购 了 G i t H u b 。 一 些 知 名 客 户 包 括 F a c e b o o k ， 美 国 航 空 ， 道 琼 斯 和 3 M 。 H u t c h i n g s 说 ， 新 的 代 码 扫 描 功 能 是 G i t H u b 为 保 护 开 源 软 件 生 态 系 统 而 正 在 进 行 的 工 作 的 一 部 分 。 G i t H u b 在 2 0 1 9 年 启 动 了 S e c u r i t y   L a b ， 这 是 一 项 举 措 ， 它 与 安 全 研 究 人 员 ， 开 发 人 员 以 及 其 他 人 员 合 作 ， 以 检 测 和 报 告 流 行 的 开 源 项 目 中 的 错 误 。 参 与 这 项 工 作 的 公 司 包 括 M i c r o s o f t ， G o o g l e ， H a c k e r O n e 和 I n t e l 。 此 类 工 作 非 常 重 要 ， 因 为 近 年 来 由 于 漏 洞 而 导 致 大 量 数 据 泄 露 ， 例 如 S Q L 注 入 工 作 ， 输 入 验 证 错 误 以 及 W e b 应 用 程 序 中 的 跨 站 点 脚 本 缺 陷 。 由 于 这 些 组 件 在 现 代 应 用 程 序 中 的 广 泛 使 用 ， 因 此 特 别 引 起 了 开 源 软 件 中 的 漏 洞 的 高 度 关 注 。 G i t H u b 的 新 扫 描 程 序 所 基 于 的 C o d e Q L 是 一 种 语 义 代 码 分 析 工 具 ， 它 使 开 发 人 员 可 以 像 查 询 数 据 一 样 查 询 软 件 代 码 。 G i t H u b 将 该 工 具 描 述 为 允 许 开 发 人 员 针 对 安 全 漏 洞 的 所 有 变 体 编 写 查 询 ， 然 后 与 其 他 人 共 享 该 查 询 ， 以 便 他 们 也 可 以 在 其 代 码 中 查 找 相 同 的 问 题 。 H u t c h i n g s 说 ， 代 码 扫 描 对 于 公 共 存 储 库 是 免 费 的 ， 并 且 可 以 作 为 G i t H u b   A d v a n c e d   S e c u r i t y （ 作 为 G i t H u b   E n t e r p r i s e   S e r v e r 和 G i t H u b   E n t e r p r i s e   C l o u d 的 一 部 分 ） 的 一 个 附 加 组 件 使 用 。 它 的 独 特 主 张 是 在 安 全 开 发 生 命 周 期 中 向 左 或 更 早 移 动 安 全 。 H u t c h i n g s 说 ： “ 它 使 企 业 安 全 团 队 可 以 扫 描 对 其 应 用 程 序 所 做 的 每 次 提 交 ， 并 在 代 码 审 查 期 间 自 动 提 供 反 馈 。 ” 这 样 的 反 馈 可 以 帮 助 开 发 人 员 更 快 地 解 决 问 题 。 他 说 ， 在 G i t H u b 测 试 版 的 最 后 3 0 天 中 ， 使 用 该 平 台 的 开 发 人 员 和 维 护 人 员 修 复 了 他 们 在 代 码 中 确 定 的 7 2 ％ 的 安 全 问 题 。 “ 我 们 非 常 高 兴 看 到 这 种 直 接 的 积 极 影 响 … … 鉴 于 行 业 数 据 显 示 ， 发 现 缺 陷 的 一 个 月 后 ， 不 到 3 0 ％ 的 缺 陷 已 得 到 修 复 。 ” 参 考 文 献 ： h t t p s : / / g i t h u b . b l o g / 2 0 2 0 - 0 9 - 3 0 - c o d e - s c a n n i n g - i s - n o w - a v a i l a b l e /
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理