Semgrep v1.184.0 : journalisation JSON d’exécution et détection affinée des dépendances
Le sujet
Semgrep v1.184.0
Cette version introduit un journal d'exécution JSON avec métadonnées de scan et étend l'évaluation des vulnérabilités aux plages de dépendances non figées. Elle supprime également l'exposition des identifiants dans les traces de proxy.
À quoi sert la solution ? Semgrep est un outil d'analyse statique du code source pour développeurs et équipes de sécurité. Il s'exécute localement dans les éditeurs, en pré-commit ou au sein des pipelines d'intégration continue.
Ce qui change
- La variable SEMGREP_LOG_JSON_FILE permet d'émettre des événements d'exécution structurés avec métadonnées de scan en plus de la sortie texte usuelle.
- Les dépendances Python déclarées sous forme d'intervalle ou sans version génèrent désormais une alerte pour chaque avis de sécurité chevauchant la plage.
- Semgrep masque désormais les identifiants intégrés aux URL de proxy lors de la journalisation des paramètres de configuration.
Pour le SOC
L'export des événements en JSON structuré faciliterait l'intégration directe de la télémétrie des scans au sein d'un SIEM. Cependant, l'évaluation élargie des dépendances non figées risquerait d'accroître le volume d'alertes à trier manuellement par les analystes.
À retenir
- La journalisation structurée améliore la visibilité opérationnelle des scans sans fuite d'identifiants de proxy dans les journaux. Condition : si les événements JSON d'exécution sont collectés par l'équipe de sécurité.
- Les alertes générées n'ont pas de version installée confirmée et exigent une revue manuelle. Condition : lorsque les manifestes requirements.txt n'utilisent pas de versions strictement figées.
Termes utiles
- SAST
- Technique d'analyse statique de sécurité examinant le code source au repos sans nécessiter l'exécution de l'application.
- SCA
- Analyse des composants logiciels et dépendances tierces pour détecter les vulnérabilités de la chaîne d'approvisionnement logicielle.