Swift 6.3.1 지원과 여러 언어 분석 개선
Swift 6.3.1 지원이 추가되고 C#, Java, JavaScript/TypeScript 등의 보안 분석과 정확도가 개선됐습니다.
교안에 영향
기존 문서에서 Path.toRealPath()가 정규화 sanitizer로 처리되지 않는다는 안내나, Vercel serverless functions 미지원 안내는 더 이상 맞지 않습니다.
요약
- Swift 6.3.1로 빌드된 앱 분석을 지원합니다. - C#의 ASP 및 ASP.NET 원격 소스 모델링이 확대되고 C# 14 사용자 정의 복합 대입 연산자를 지원합니다. - Java/Kotlin 쿼리에서 경로 정규화와 민감 정보 로그, 신뢰 경계 위반 판정의 오탐이 줄었습니다. - JavaScript/TypeScript에서 @vercel/node Vercel serverless functions 분석을 지원하고, C/C++에는 Strsafe.h 흐름 모델이 추가됐습니다. - 여러 언어에 data flow barriers와 barrier guards를 추가할 수 있는 data extensions가 도입됐습니다.
바뀐 것
새 기능
- Swift 6.3.1로 빌드된 앱 분석을 지원합니다.
- C# 14 user-defined compound assignment operators를 지원합니다.
- @vercel/node Vercel serverless functions를 지원하며 VercelRequest와 VercelResponse TypeScript parameter types로 핸들러를 인식합니다.
- Windows SDK의 Strsafe.h 헤더에 대한 taint flow models를 추가했습니다.
- C/C++, C#, Go, Java/Kotlin, JavaScript/TypeScript, Python, Ruby, Rust에서 data extensions로 data flow barriers와 barrier guards를 추가할 수 있습니다.
개선
- ASP 및 ASP.NET remote source modeling을 확장해 tainted parameters의 필드와 전이적으로 오염되는 속성 및 필드까지 포함합니다.
- build-mode: none에서 dotnet restore가 nuget.config에 설정된 reachable NuGet feeds와 private registries를 직접 사용해 의존성 해결 신뢰성을 높입니다.
- java/path-injection과 java/zipslip 쿼리가 Path.toRealPath()를 경로 정규화 sanitizers로 인식합니다.
- java/sensitive-log 쿼리가 nextToken, pageToken, continuationToken 같은 추가 변수명 패턴과 secretName, secretId, secretVersion 같은 secret metadata를 제외합니다.
- java/sensitive-log 쿼리가 이름에 encrypt, hash, digest가 포함된 메서드 호출을 sanitizers로 처리합니다.
- java/trust-boundary-violation 쿼리가 String.matches() 가드와 @javax.validation.constraints.Pattern 주석을 정규식 검사 sanitizers로 인식합니다.