CodeQL 2.23.0, Rust 로그 인젝션 지원 추가

GitHub 코드 스캐닝의 정적 분석 엔진인 CodeQL이 보안 문제를 찾아 해결합니다. 최근 출시된 CodeQL 2.23.0은 새로운 Rust 보안 쿼리를 도입하고, Java Spring Boot 보안 쿼리를 승격하며, 더 빠른 Rust 추출기를 포함합니다.

C#에서는 데이터 흐름 분석의 버그를 수정하여 기본 한정자를 사용하는 호출을 통한 흐름을 더 정확하게 추적할 수 있게 되었습니다. 기본 오염 추적 구성은 이제 싱크 및 추가 흐름 단계에서 컬렉션의 암시적 읽기를 허용합니다. 이는 많은 오염 추적 쿼리의 흐름 범위를 증가시키고 거짓 부정을 줄이는 데 도움이 됩니다.

Rust에서는 경로 해석을 제거하여 추출 속도를 높이고 신뢰성을 향상시켰습니다. 또한 std::fs, async_std::fs, tokio::fs 라이브러리의 모델링을 개선하여 Rust 인젝션 쿼리, 특히 rust/path-injection에서 더 많은 경고가 발견될 수 있습니다.

여러 언어에 걸쳐 쿼리에 대한 개선 및 추가가 이루어졌습니다. 변경 사항의 전체 목록은 버전 2.23.0의 전체 변경 로그를 참조하십시오. CodeQL의 모든 새 버전은 github.com의 GitHub 코드 스캐닝 사용자에게 자동으로 배포됩니다. CodeQL 2.23.0의 새로운 기능은 향후 GitHub Enterprise Server(GHES) 릴리스에도 포함될 예정입니다. 이전 버전의 GHES를 사용하는 경우 CodeQL 버전을 수동으로 업그레이드할 수 있습니다.