Integrierte Code-Analyse mit Semmle GitHub forciert Schwachstellen-Erkennung

In Open-Source-Projekten sind die Entwickler oft auf Feedback zu Sicherheitslücken angewiesen, eine automatisierte Code-Analyse findet oft nicht statt. GitHub übernimmt nun die Plattform Semmle, um entsprechende Mechanismen bieten zu können.

Firmen zum Thema

ConSol Consulting & Solutions Software GmbH

Confluent Germany GmbH

Im Kampf gegen Schwachstellen hat GitHub bereits einige Initiativen gestartet, beispielsweise zur Identifizierung bekannter Sicherheitslücken in Python-basierten Repositories. Durch die Akquise von Semmle bietet der Code-Hoster künftig eine integrierte Erkennung von Zero-Schwachstellen und eine automatisierte Varianten-Analyse.

Die semantische Code-Analyse-Engine ermöglicht es Entwicklern, mithilfe eigens geschriebener Abfragen bestimmte Code-Muster zu identifizieren und so nach Schwachstellen und deren Varianten suchen. Entsprechende Abfragen werden anschließend über die Semmle-Plattform mit der Community geteilt.

Semmle wird unter anderem bereits von Sicherheitsteams von Uber, NASA, Microsoft, Google eingesetzt. Tausende Schwachstellen in einigen der größten Code-Basen der Welt konnte die Plattform laut GitHu-CEO Nat Friedman bereits ausfindig machen. Bestehende Semmle-Nutzer sollen im Zuge der Integration keine Störungen wahrnehmen. Die kontinuierliche Sicherheitsanalyse mit LGTM soll weiterhin kostenlos und quelloffen zur Verfügung stehen.

(ID:46151707)