CodeQL 2.25.6 が Swift 6.3.2 のサポートを追加し C# カバレッジを改善
GitHub が CodeQL 2.25.6 をリリースし、Swift 6.3.2 や C# 14/.NET 10 の完全サポートを開始するとともに、多言語での機密データ検出精度を向上させた。
キーポイント
主要プログラミング言語のバージョン対応拡大
Swift 6.3.2 の解析サポートに加え、C# 14 と .NET 10 に対する完全なカバレッジとデータフローモデルが実装された。
機密データ検出アルゴリズムの高度化
JavaScript, Python, Swift, Rust など複数の言語において、パスワードや個人情報を扱うコードの検出ヒューリスティックが改善され、偽陽性が減少する。
GitHub Actions におけるセキュリティアラートの精度向上
不信任チェックアウトや未ピン留めタグの判定基準が見直され、SHA-256 のサポートや Bash レギュラーチェックの強化により誤検知が削減された。
重要な引用
We've completed full support for C# 14 and .NET 10.
The analysis now recognizes more Bash regex checks that restrict values to alphanumeric characters, which may reduce false positives where command output is validated before use.
Every new version of CodeQL is automatically deployed to users of GitHub code scanning on github.com.
影響分析・編集コメントを表示
影響分析
本リリースは、最新のプログラミング言語やフレームワークに対応することで、セキュリティスキャンの網羅性を高め、開発者がより安全なコードを迅速に実装できる環境を整備します。特に偽陽性の削減により、セキュリティチームの調査工数を大幅に節約でき、DevSecOps プロセスの効率化に直結する重要な更新です。
編集コメント
最新の言語仕様への追従はセキュリティリスクを未然に防ぐために不可欠であり、偽陽性の削減は現場の運用負荷軽減という実利が大きいアップデートです。
CodeQL は、GitHub コードスキャンの背後にある静的解析エンジンであり、コード内のセキュリティ問題を発見して修正します。このたび CodeQL 2.25.6 をリリースしました。これにより Swift 6.3.2 のサポートが追加され、C# 14 および .NET 10 に対する完全なカバレッジが整い、複数の言語にわたる機密データの検出能力も向上しています。
言語およびフレームワークのサポート
Swift
CodeQL は now Swift 6.3.2 で構築されたアプリケーションの解析をサポートするようになりました。
C#
C# 14 および .NET 10 に対する完全なサポートが完了しました。エクストラクター（抽出器）はすべての新しい言語機能に対応し、データフローライブラリには .NET 10 ランタイム用の生成モデルが含まれるようになりました。
Java/Kotlin
org.apache.avro 向けのソースおよびシンクモデルを追加しました。
C/C++
scanf_s および関連関数に対するフローソースモデルを追加しました。
クエリの変更
GitHub Actions
actions/untrusted-checkout/critical のアクションを調整したため、アラートは now チェックアウトポイントに表示されるようになりました。これにより、関連する信頼できないリソースに関するクエリと整合性が取られました。なお、この変更により、以前はこのクエリから閉じられていたアラートが再オープンする可能性があります。
actions/unpinned-tag クエリでは、40 文字の SHA-1 ハッシュに加えて、64 文字の SHA-256 コミットハッシュも適切にピン留めされた参照として認識されるようになりました。これにより、偽陽性が減少する可能性があります。
分析では now、値を英数字に制限する Bash レギュラーチェック（SHA-1 または SHA-256 ハッシュのチェックを含むパターン）をより多く認識できるようになりました。コマンド出力が使用前に検証される場合などにおいて、偽陽性を減らす効果が期待されます。
JavaScript/TypeScript, Python, Swift, および Rust
パスワードや機密データを扱うコードを特定するために使用される機微データヒューリスティックを改善し、CodeQL が確立されたパターンのより多くのバリエーションを検出可能にしました。js/clear-text-logging、py/clear-text-logging-sensitive-data、swift/cleartext-logging、rust/cleartext-logging などのクエリにより、より正確な結果が得られ、誤検知（false positives）も減少します。
変更点の完全なリストについては、バージョン 2.25.6 の完全なチェンジログを参照してください。CodeQL の新バージョンはすべて自動的に github.com 上の GitHub コードスキャン利用者へデプロイされます。また、CodeQL 2.25.6 の新機能は、将来の GitHub Enterprise Server (GHES) リリースにも含まれます。古いバージョンの GHES を使用している場合は、手動で CodeQL バージンをアップグレードすることができます。
「CodeQL 2.25.6 が Swift 6.3.2 サポートを追加し C# カバレッジを改善」という記事は、The GitHub Blog に最初に掲載されました。
原文を表示
CodeQL is the static analysis engine behind GitHub code scanning, which finds and remediates security issues in your code. We’ve recently released CodeQL 2.25.6, which adds Swift 6.3.2 support, completes full coverage for C# 14 and .NET 10, and improves sensitive data detection across multiple languages.
Language and framework support
Swift
CodeQL now supports analysis of apps built with Swift 6.3.2.
C#
We’ve completed full support for C# 14 and .NET 10. The extractor now supports all new language features, and the data flow library now includes generated models for the .NET 10 runtime.
Java/Kotlin
We’ve added source and sink models for org.apache.avro.
C/C++
We’ve added flow source models for scanf_s and related functions.
Query changes
GitHub Actions
We’ve adjusted actions/untrusted-checkout/critical so alerts now appear at the checkout point, aligning it with related untrusted resource queries. Note that this change will cause alerts that were previously closed from this query to reopen.
The actions/unpinned-tag query now recognizes 64-character SHA-256 commit hashes as properly pinned references in addition to 40-character SHA-1 hashes, which may reduce false positives.
The analysis now recognizes more Bash regex checks that restrict values to alphanumeric characters, including patterns that check for SHA-1 or SHA-256 hashes, which may reduce false positives where command output is validated before use.
JavaScript/TypeScript, Python, Swift, and Rust
We’ve improved the sensitive data heuristics used to identify code handling passwords and private data, allowing CodeQL to detect more variations of established patterns. Queries such as js/clear-text-logging, py/clear-text-logging-sensitive-data, swift/cleartext-logging, and rust/cleartext-logging may now find more correct results and fewer false positives.
For a full list of changes, please refer to the complete changelog for version 2.25.6. Every new version of CodeQL is automatically deployed to users of GitHub code scanning on github.com. The new functionality in CodeQL 2.25.6 will also be included in a future GitHub Enterprise Server (GHES) release. If you use an older version of GHES, you can manually upgrade your CodeQL version.
The post CodeQL 2.25.6 adds Swift 6.3.2 support and improves C# coverage appeared first on The GitHub Blog.
関連記事
今日のまとめ
AI日報で今日の重要ニュースをまとめ読み