CodeQL 2.25.4 が Swift 6.3.1 をサポートし、C# と Java の分析を改善

CodeQL は、GitHub コードスキャンの背後にある静的解析エンジンであり、コード内のセキュリティ問題を発見して修正します。このほど CodeQL 2.25.4 をリリースしました。これにより Swift 6.3.1 のサポートが追加され、C# 分析の精度が向上し、Vercel サーバーレス関数へのセキュリティ分析が拡張され、ほぼすべての対応言語でデータフローバリア拡張機能が導入されました。 言語およびフレームワークのサポート Swift CodeQL は now Swift 6.3.1 で構築されたアプリの解析をサポートするようになりました。 C# ASP および ASP.NET のリモートソースモデリングを拡大し、汚染されたパラメータのフィールドや、転送的に汚染されるプロパティおよびフィールドなど、追加のソースをカバーしました。これにより、ASP.NET アプリケーション内の汚染フローの検出カバレッジが向上します。 C# 14 のユーザー定義複合代入演算子のサポートを追加しました。 ビルドモード：none で依存関係を解決する際、dotnet restore は now nuget.config に設定された到達可能な NuGet フィードおよび任意のプライベートレジストリを明示的に直接使用し、デフォルトフィードが利用できない場合や制限されている場合に信頼性が向上します。 JavaScript/TypeScript @vercel/node による Vercel サーバーレス関数のサポートを追加しました。ハンドラは VercelRequest/VercelResponse の TypeScript パラメータ型を通じて認識されるため、標準的なセキュリティクエリ（例：js/reflected-xss, js/request-forgery, js/sql-injection, js/command-line-injection）が now Vercel API ルートファイル内の脆弱性を検出できるようになりました。 クエリの変更 Java/Kotlin java/path-injection および java/zipslip クエリは、Path.toRealPath() をパス正規化のサニタイザーとして認識するようになりました。これは既存の Path.normalize() や File.getCanonicalPath() の扱いに合わせたものです。これにより、NIO.2 API を使用してパスの正準化を行っているコードにおける偽陽性が減少します。 java/sensitive-log クエリは、機密データを保持していない追加の変数名パターン（例：ページネーショントークン (nextToken, pageToken, continuationToken) およびシークレットメタデータ (secretName, secretId, secretVersion)）を除外するようになりました。これにより偽陽性が減少します。 java/sensitive-log クエリは、名前に「encrypt」、「hash」、または「digest」が含まれるメソッド呼び出しをサニタイザーとして扱うようになりました。これにより、機密データをログ出力前にハッシュ化または暗号化する際の偽陽性が減少します。 java/trust-boundary-violation クエリは、正規表現チェック（例：String.matches() によるガードおよび @javax.validation.constraints.Pattern アノテーション）をサニタイザーとして認識するようになりました。これにより、入力値がセッションに保存される前に検証される際の偽陽性が減少します。 C/C++ Windows SDK の Strsafe.h ヘッダーに対する汚染フローモデルを追加しました。 新機能 データ拡張を使用して、C/C++, C#, Go, Java/Kotlin, JavaScript/TypeScript, Python, Ruby, Rust 全体でデータフローバリアおよびバリアガードを追加できるようになりました。これにより、クエリを直接修正することなく、組織のカスタム CodeQL 設定における偽陽性を抑制しやすくなります。詳細は、各言語のライブラリモデルのカスタマイズに関するドキュメントをご覧ください。 翻訳全文 完全な変更点一覧については、バージョン 2.25.4 の完全な変更履歴をご参照ください。CodeQL の新バージョンはすべて自動的に github.com 上の GitHub コードスキャン利用者へデプロイされます。また、CodeQL 2.25.4 で追加された新機能は、将来の GitHub Enterprise Server (GHES) リリースにも含まれます。もし GHES の古いバージョンをお使いの場合は、手動で CodeQL のバージョンをアップグレードすることができます。

CodeQL 2.25.4 が Swift 6.3.1 をサポートし、C# と Java の分析を改善

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト