GitHub Actions 쿼리 개선과 JavaScript 모델링 확장
CodeQL 2.26.3은 GitHub Actions 쿼리 정확도를 높이고 JavaScript, TypeScript, Vue 흐름 모델링을 확장했습니다.
교안에 영향
예전 안내 글의 `codeql.actions.security.SelfHostedQuery` 관련 설명은 더 이상 맞지 않으며, 일부 GitHub Actions 쿼리의 경고 위치와 조건도 달라졌습니다.
요약
- GitHub Actions 쿼리의 정확도를 높이고 경고 메시지와 경로 시작점을 개선했습니다. - JavaScript, TypeScript, Vue에 대한 소스·흐름 모델링을 추가해 분석 범위를 넓혔습니다. - C/C++과 Ruby 지원을 일부 조정해 Windows 레지스트리 함수와 vendored gems 관련 판정을 바꿨습니다. - 일부 GitHub Actions 쿼리와 JS 쿼리의 오탐과 분류를 수정했습니다.
바뀐 것
새 기능
- JavaScript와 TypeScript에서 `file:` 형식의 패키지 이름으로 특정 파일을 참조하는 사용자 지정 모델을 지원합니다.
- Vue의 `ref`, `shallowRef`, `toRef`, `reactive`, `computed` Composition API 도우미에 대한 흐름 모델을 추가했습니다.
- Vue Router의 `useRoute()` Composition API를 클라이언트 측 원격 흐름 소스로 인식하며 `query`, `params`, `path`, `fullPath`, `hash` 멤버를 포함합니다.
- Sails Action2 컨트롤러 파일의 선언된 `inputs` 속성을 원격 흐름 소스로 처리합니다.
- C/C++에서 `winreg.h`의 `RegQueryValue`와 관련 함수에 대한 흐름 소스 모델을 추가했습니다.
개선
- GitHub Actions에서 `github.event.merge_group`의 신뢰되지 않은 데이터를 인식하도록 분석을 보강했습니다.
- 응답 위협 모델을 사용하는 쿼리에서 `promise`로 감싼 클라이언트 응답 데이터를 `promise` 이행 값까지 추적합니다.
- Ruby에서 vendored gems에 대한 library input을 taint source 집합에서 제외했습니다.
- `actions/output-clobbering/high` 쿼리가 JSON으로 인코딩된 출력의 단순 `jq` 경로 필터를 더 이상 보고하지 않도록 정확도를 높였습니다.
- `actions/output-clobbering/high` 쿼리의 정규식 입력 처리에서 발생하던 성능 문제를 수정했습니다.
- `actions/cache-poisoning/poisonable-step`와 `actions/untrusted-checkout/critical` 쿼리의 경로 시작점을 신뢰되지 않은 체크아웃을 제어하는 식으로 바꿔 경고를 따라가기 쉽게 했습니다.
- GitHub Actions 쿼리에서 워크플로를 외부에서 시작할 수 있는지 판단할 때 `schedule` 이벤트를 올바르게 분류하도록 수정했습니다.
- `actions/envvar-injection/critical` 쿼리가 신뢰되지 않은 소스와 권한 있는 컨텍스트가 같은 트리거 이벤트에서 비롯되어야만 하도록 강화했습니다.
- `actions/envvar-injection/critical` 쿼리가 pull request head labels를 더 이상 주입 가능한 값으로 보지 않도록 했습니다.
- `actions/cache-poisoning/code-injection`, `actions/cache-poisoning/direct-cache`, `actions/cache-poisoning/poisonable-step` 쿼리가 기본 브랜치 범위의 읽기 전용 캐시 접근을 반영하도록 조정했습니다.
- `actions/cache-poisoning/code-injection` 쿼리의 이름과 경고 메시지를 명확하게 다듬었습니다.
- `js/missing-rate-limiting` 쿼리가 `@fastify/rate-limit` 패키지를 rate limiter로 인식하도록 했습니다.
기타
- `codeql.actions.security.SelfHostedQuery` 모듈을 제거했습니다.