CodeQL 2.25.3 が Swift 6.3 のサポートを追加

CodeQL は、GitHub コードスキャンの背後にある静的解析エンジンであり、コード内のセキュリティ問題を発見して修正します。このたび CodeQL 2.25.3 をリリースし、Swift 6.3 のサポートを追加するとともに、5 つの C/C++ クエリをデフォルトのコードスキャンクエリスイートに昇格させ、各言語にわたる精度向上を多数含めました。 言語およびフレームワークのサポート Swift CodeQL は、Swift 6.3 で構築されたアプリケーションの解析をサポートするようになりました。 Python Python エクストラクターは、Python 3.15 の一部である PEP-810 で定義された新しい遅延インポート ... および遅延 from ... import ... 構文をサポートするようになりました。 Java/Kotlin java/xxe および java/xxe-local クエリは、Woodstox StAX ライブラリのシンク（Sink）を検出するようになり、com.ctc.wstx.stax.WstxInputFactory および org.codehaus.stax2.XMLInputFactory2 の直接使用も検知します。 C/C++ aligned_alloc、std::aligned_alloc、bsl::aligned_alloc に対する AllocationFunction モデルを追加しました。 クエリの変更 C/C++ 5 つのクエリを高精度に昇格させ、デフォルトのコードスキャンクエリスイートに追加しました: cpp/comparison-with-wider-type（ループ条件における狭い型と広い型の比較）。 cpp/integer-multiplication-cast-to-long（乗算結果がより大きな型に変換されるケース）。 cpp/suspicious-add-sizeof（sizeof による不審な加算）。 cpp/wrong-type-format-argument（フォーマット関数への引数の型が誤っているケース）。 cpp/implicit-function-declaration (関数の暗黙的宣言)。build-mode: none のデータベースの場合、このクエリはもはや結果を生成しません。これは、それらの結果がノイズが多く不正確だったためです。 C# cs/useless-tostring-call クエリを更新し、StringBuilder.AppendLine への呼び出しおよび base.ToString() の形式の呼び出しにおける偽陽性を回避するとともに、アラートメッセージをより精密にしました。 JavaScript/TypeScript js/missing-rate-limiting クエリは、Fastify のルートごとのレート制限も考慮するようになりました。 Python py/bind-socket-all-network-interfaces クエリはグローバルなデータフローライブラリを使用するようになり、精度が向上してより多くの結果が得られるようになりました。また、eventlet および gevent ライブラリ内の socket.socket のラッパーもソケットバインド操作として認識します。 GitHub Actions actions/artifact-poisoning/critical および actions/artifact-poisoning/medium クエリのアラートメッセージとソース位置を改善し、アラートを理解しやすくするとともに、信頼できない可能性のあるアーティファクトについて報告する類似のクエリとの整合性を図りました。 actions/missing-workflow-permissions クエリは、すべての呼び出し元が権限を設定している再利用可能なワークフローにおける偽陽性を生成しなくなりました。 docker/build-push-action の context 入力および step-security/harden-runner の allowed-endpoints 入力に対する偽陽性のインジェクションシンクモデルを削除しました。 完全な変更点一覧については、バージョン 2.25.3 の完全なチェンジログを参照してください。CodeQL の新バージョンはすべて自動的に github.com 上の GitHub コードスキャン利用者へデプロイされます。CodeQL 2.25.3 に含まれる新機能は、GitHub Enterprise Server (GHES) 3.22 リリースにも組み込まれます。もし GHES の古いバージョンを使用している場合は、手動で CodeQL のバージョンをアップグレードすることができます。 この投稿「CodeQL 2.25.3 が Swift 6.3 サポートを追加」は、The GitHub Blog で最初に公開されました。

CodeQL 2.25.3 が Swift 6.3 のサポートを追加

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト