GitHub forciert Schwachstellen-Erkennung

In Open-Source-Projekten sind die Entwickler oft auf Feedback zu Sicherheitslücken angewiesen, eine automatisierte Code-Analyse findet oft nicht statt. GitHub übernimmt nun die Plattform Semmle, um entsprechende Mechanismen bieten zu können.

Im Kampf gegen Schwachstellen hat GitHub bereits einige Initiativen gestartet, beispielsweise zur Identifizierung bekannter Sicherheitslücken in Python-basierten Repositories. Durch die Akquise von Semmle bietet der Code-Hoster künftig eine integrierte Erkennung von Zero-Schwachstellen und eine automatisierte Varianten-Analyse.

Die semantische Code-Analyse-Engine ermöglicht es Entwicklern, mithilfe eigens geschriebener Abfragen bestimmte Code-Muster zu identifizieren und so nach Schwachstellen und deren Varianten suchen. Entsprechende Abfragen werden anschließend über die Semmle-Plattform mit der Community geteilt.

Semmle wird unter anderem bereits von Sicherheitsteams von Uber, NASA, Microsoft, Google eingesetzt. Tausende Schwachstellen in einigen der größten Code-Basen der Welt konnte die Plattform laut GitHu-CEO Nat Friedman bereits ausfindig machen. Bestehende Semmle-Nutzer sollen im Zuge der Integration keine Störungen wahrnehmen. Die kontinuierliche Sicherheitsanalyse mit LGTM soll weiterhin kostenlos und quelloffen zur Verfügung stehen.