CodeQL 2.25.5 が GitHub Actions のクエリ精度を向上
本文の状態
日本語全文を表示中
詳細モードで約2分の本文を読めます。
同じ出来事の情報源
この情報源を基点に整理
GitHub Changelog
GitHub はセキュリティ分析エンジン「CodeQL」のバージョン 2.25.5 をリリースし、C/C++ や Java/Kotlin、そして GitHub Actions に関するクエリの精度を改善しました。特に新機能として、パス注入の読み取りを検出する新しいシンク種別が追加されました。
Source Article
元記事を日本語で読む
本文に関係しない購読案内、埋め込み通知、サイト内プロモーションは除いています。
CodeQL は、コード内のセキュリティ問題を発見し修正するための GitHub コードスキャンの背後にある静的解析エンジンです。このたび CodeQL 2.25.5 をリリースしました。これにより、C/C++、Java/Kotlin、および GitHub Actions のクエリにおいて精度が向上しています。
言語およびフレームワークのサポート
Java/Kotlin
Models-as-Data（データとしてのモデル）の行に対して、パスからの読み取りのみを行う新しいシンク種別 path-injection[read] を導入しました。これにより、クエリは読み取り専用のパスシンクとより危険なシンクを区別できるようになります。
GitHub Actions
poisonable_steps（汚染可能なステップ）のモデリングを拡張し、Python モジュール経由で実行されるスクリプトやディレクトリ内の go run などの追加シンクを検出できるようにしました。
クエリの変更
C/C++
cpp/cleartext-transmission クエリは、入力元がソケットではない場合に fscanf（およびその派生）への呼び出しに対してアラートを発生しなくなりました。これにより誤検知が減少します。
Java/Kotlin
java/zipslip クエリは、ClassLoader.getResource、FileInputStream、FileReader などの読み取り専用パスシンクにのみ流れるアーカイブエントリー名を報告しなくなりました。これにより誤検知が減少します。
GitHub Actions
actions/unpinned-tag クエリは、ワークフローファイルに加えて、コンポジットアクションのメタデータ（action.yml および action.yaml ファイル）も解析するようになり、より包括的な検出が可能になりました。
また、actions/untrusted-checkout/critical、actions/untrusted-checkout/high、および actions/untrusted-checkout/medium の各クエリに対するヘルプファイルの説明を修正しました。
actions/untrusted-checkout/high の名前を、シナリオのどの部分が特権コンテキストで実行されるかをより明確に説明できるように変更しました。
変更点の完全なリストについては、バージョン 2.25.5 の完全なチェンジログをご参照ください。CodeQL の新バージョンはすべて自動的に github.com 上の GitHub コードスキャン利用者へデプロイされます。また、CodeQL 2.25.5 の新機能は、GitHub Enterprise Server (GHES) リリース 3.22 にも含まれます。もし GHES の旧バージョンを使用している場合は、手動で CodeQL のバージョンをアップグレードすることができます。
「CodeQL 2.25.5 が GitHub Actions に対するクエリの精度を向上」の記事は、The GitHub Blog で最初に公開されました。
原文を表示
CodeQL is the static analysis engine behind GitHub code scanning, which finds and remediates security issues in your code. We’ve recently released CodeQL 2.25.5, which includes accuracy improvements across C/C++, Java/Kotlin, and GitHub Actions queries.
Language and framework support
Java/Kotlin
We’ve introduced a new sink kind, path-injection[read], for Models-as-Data rows that only read from a path (such as ClassLoader.getResource, FileInputStream, and FileReader). This helps queries distinguish read-only path sinks from more dangerous ones.
GitHub Actions
We’ve extended the poisonable_steps modeling to detect additional sinks, including scripts executed via Python modules and go run in directories.
Query changes
C/C++
The cpp/cleartext-transmission query no longer raises an alert on calls to fscanf (and variants) when the call reads from an input that isn’t a socket, reducing false positives.
Java/Kotlin
The java/zipslip query no longer reports archive entry names that flow only to read-only path sinks such as ClassLoader.getResource, FileInputStream, and FileReader, reducing false positives.
GitHub Actions
The actions/unpinned-tag query now analyzes composite action metadata (action.yml and action.yaml files) in addition to workflow files, providing more comprehensive detection.
We’ve fixed the help file descriptions for the actions/untrusted-checkout/critical, actions/untrusted-checkout/high, and actions/untrusted-checkout/medium queries.
We’ve renamed actions/untrusted-checkout/high to more clearly describe which parts of the scenario run in a privileged context.
For a full list of changes, please refer to the complete changelog for version 2.25.5. Every new version of CodeQL is automatically deployed to users of GitHub code scanning on github.com. The new functionality in CodeQL 2.25.5 will also be included in GitHub Enterprise Server (GHES) release 3.22. If you use an older version of GHES, you can manually upgrade your CodeQL version.
The post CodeQL 2.25.5 improves query accuracy for GitHub Actions appeared first on The GitHub Blog.
今日のまとめ
AIデイリーブリーフで今日の重要ニュースをまとめ読み