Analyser et valider les failles de code

Aperçu

Ce produit ou cette fonctionnalité est soumis aux "Conditions des offres pré-DG" de la section "Conditions d'utilisation générales du service" des Conditions spécifiques du service. Les produits et fonctionnalités pré-DG sont disponibles "en l'état" et peuvent avoir une compatibilité limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

CodeMender vous permet d'analyser de manière proactive votre codebase pour détecter les faiblesses logicielles et d'exécuter des exploits de preuve de concept (PoC) dans votre bac à sable local afin de confirmer l'exploitabilité tout en éliminant les faux positifs.

Analyser les failles

Pour exécuter une analyse de sécurité rapide dans votre codebase, exécutez cm find. Nous vous recommandons d'analyser des modules ciblés ou des lots de 10 à 50 fichiers à la fois pour des performances optimales.

Analyser un sous-répertoire spécifique :

cm find ./src/auth/

Analyser un seul fichier :

cm find ./src/auth/session_manager.py

Ignorer les invites d'approbation interactives lors de l'analyse :

cm find ./src/auth/ -y

Vérifier les failles

Avertissement : CodeMender exécute des commandes et peut modifier directement des fichiers sur votre système hôte. Par défaut, ces commandes s'exécutent dans un bac à sable local au niveau du processus. Si vous désactivez le bac à sable (dans config.yaml ou à l'aide de l'indicateur --sandbox=false) ou si vous le contournez (à l'aide de l'indicateur --unrestricted), nous vous recommandons vivement d'exécuter l'CLI dans une VM ou un conteneur isolé pour protéger votre système hôte.

Une fois que CodeMender a identifié les failles potentielles, demandez-lui de vérifier l'exploitabilité. Lors de la vérification, CodeMender génère et exécute un exploit de preuve de concept (PoC) (dans le bac à sable par défaut) pour confirmer si le problème est réellement exploitable.

Recherchez le finding-id dans le résultat de cm report ou cm find, puis exécutez :

cm verify FINDING_ID

Indicateurs de vérification

• Fournir un contexte de guidance personnalisé (-c / --context) : transmettez des instructions de pilotage ou un contexte de domaine d’application pour guider l’agent :

  cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path"

• Ignorer l'exécution de l'exploit de preuve de concept (--skip-exploit-verification) : n'effectuez qu'une vérification statique sans exécuter d'exploits actifs :

  cm verify FINDING_ID --skip-exploit-verification

• Contrôler le bac à sable (--sandbox) : activez ou désactivez explicitement le bac à sable pour cette exécution (par exemple, --sandbox=false pour le désactiver) :

  cm verify FINDING_ID --sandbox=false

• Contourner le bac à sable (--unrestricted) : contournez temporairement toutes les protections du bac à sable pour cette exécution, en désactivant les limites du système de fichiers et l'isolation des conteneurs au niveau du système d'exploitation :

  cm verify FINDING_ID --unrestricted

• Approuver automatiquement les invites (-y) : ignorez les invites de confirmation :

  cm verify FINDING_ID -y