I whakarewahia e GitHub tetahi punaha ako miihini ki te rapu whakaraeraetanga o te waehere

Waitohu GitHub

Kua hurahia a GitHub e hia nga ra ki muri ko te taapiri o he whakamatautau punaha ako miihinil ki te ratonga matawai waehere ki te tautuhi i nga momo whakaraerae noa I roto i te waehere. Na tenei, kua whakahouhia te hangarau tātari waehere a GitHub i runga i te CodeQL me te whakamahi i te ako miihini (ML) ki te rapu whakaraeraetanga haumarutanga kei roto i te waehere.

A ko taua GitHub i whiwhi i te hangarau mo CodeQL hei wahanga o te hoko a Semmie. Ko te CodeQL e whakamahia ana e nga roopu rangahau haumarutanga ki te mahi i te wetewete reo o te waehere, na GitHub i whakatuwhera hei puna tuwhera.

Ma enei tauira, ka taea e CodeQL te tautuhi i nga rerenga raraunga kaiwhakamahi kore pono, na reira ka nui ake nga whakaraeraetanga haumarutanga.

E kitea ana na te whakamahi i te punaha ako miihini i taea ai te whakawhānui ake i te whānuitanga o nga raru kua tautuhia, i roto i te tātaritanga kaore te punaha inaianei e whakawhäitihia ki te manatoko tauira angamaheni me te kore e herea ki nga anga e mohiotia ana.

Ko nga raruraru kua tautuhia e te punaha hou, ko nga hapa e arai ana ki te tuhi tuhi-paepae (XSS), te korikori o nga ara konae (hei tauira, ma te tohu "/.."), kua whakahuahia te whakakapinga o nga patai SQL me te NoSQL. .

Ka taea e te karapa waehere te kite i etahi atu whakaraeraetanga haumarutanga ma te whakamahi i tetahi tauira ako hohonu hou. Kei te waatea tenei waahanga whakamatautau i te beta whanui mo nga putunga JavaScript me te TypeScript i GitHub.com.

Ko te taputapu hou a GitHub fue i tukuna hei beta whanui kore utu Mo nga kaiwhakamahi katoa, ka whakamahia e te waahanga te ako miihini me te ako hohonu ki te matawai i nga turanga waehere me te tautuhi i nga whakaraeraetanga haumaru noa i mua i te tukuna o tetahi hua.

Kei te waatea te waahanga whakamatautau ki nga kaiwhakamahi papaaho katoa, tae atu ki nga kaiwhakamahi GitHub Enterprise hei Ahuatanga Haumarutanga Ake o GitHub, ka taea te whakamahi mo nga kaupapa kua tuhia ki te JavaScript, TypeScript ranei.

Na te tere tere o te puunaha rauwiringa kaiao tuwhera, kei te piki haere te hiku roa o nga whare pukapuka ka iti ake te whakamahi. Ka whakamahi matou i nga tauira mai i nga paatai ​​CodeQL i hangaia a-ringa hei whakangungu i nga tauira ako hohonu ki te mohio ki nga whare pukapuka puna tuwhera tae atu ki nga whare pukapuka puna kati i hangaia i roto.

Ko te taputapu kua hoahoatia ki te rapu i nga whakaraeraetanga e wha e tino kitea ana e pa ana ki nga kaupapa kua tuhia ki enei reo e rua: te tuhi-paepae (XSS), te werohanga ara, te werohanga NoSQL me te werohanga SQL.

Ko te ratonga matawai waehere ka taea e koe te kite i nga whakaraeraetanga i te timatanga o te whanaketanga ma te karapa i ia mahi pana git mo nga raru pea.

Ko te hua ka piri tika ki te tono kume. I mua, i mahia te haki ma te whakamahi i te miihini CodeQL, e tātari ana i nga tauira me nga tauira angamaheni o te waehere whakaraerae (Ko te CodeQL ka taea e koe te whakaputa i tetahi tauira o te waehere whakaraerae kia kitea te ahua o te whakaraeraetanga rite ki te waehere o etahi atu kaupapa).

Na te kaha tātaritanga hou, ka taea e te Matawai Waehere te whakaputa matohi ake mo nga tauira whakaraeraetanga noa e wha: Whakawhiti-Pae Tuhituhi (XSS), Ara Injection, NoSQL Injection, me SQL Injection. Ko enei momo whakaraerae e wha e tohu ana i te maha o nga whakaraeraetanga hou (CVEs) i roto i te rauwiringa kaiao JavaScript/TypeScript, me te whakapai ake i te kaha o te matawai waehere ki te kite i aua whakaraeraetanga i te timatanga o te tukanga whanaketanga he mea matua ki te awhina i nga kaiwhakawhanake ki te tuhi i nga waehere haumaru ake.

Ko te miihini ako miihini hou ka taea te tautuhi i nga whakaraeraetanga kaore i mohiotia i mua na te mea kaore i te herea ki te taapiri o nga tauira waehere e whakaahua ana i nga whakaraeraetanga motuhake. Ko te utu mo taua whai waahi ko te pikinga o te maha o nga hua pai i whakaritea ki nga arowhai a-CodeQL.

Finalmente mo te hunga hiahia ki te mohio atu mo tenei, ka taea e koe te tirotiro i nga korero taipitopito I roto i te hono e whai ake nei.

He mea nui ano hoki ki te whakahua i te waahi whakamatautau, kei te waatea noa te mahi hou mo nga putunga me te waehere JavaScript me te TypeScript.


Ko nga korero o te tuhinga e piri ana ki o maatau kaupapa o matatika whakatika. Ki te ripoata i tetahi paatene paato Here.

Hei tuatahi ki te korero

Waiho to korero

Ka kore e whakaputaina tō wāhitau īmēra.

*

*

  1. He kawenga mo nga raraunga: Miguel Ángel Gatón
  2. Te kaupapa o te raraunga: Whakahaerehia te SPAM, te whakahaere korero.
  3. Ture: To whakaae
  4. Whakawhitinga korero: Kaore nga korero e tukuna ki nga taha tuatoru engari ma te ture herenga.
  5. Rokiroki raraunga: Paetukutuku e whakahaerehia ana e Occentus Networks (EU)
  6. Tika: I nga wa katoa ka taea e koe te whakaiti, te whakaora me te muku i o korero.