Standardmäßig ist der Python-Scanner in öffentlichen Repositories aktiviert. Bei privaten Repositories müssen ihre Betreiber dem Dependency-Graph Zugriff auf das Repo gewähren. Der Dependency-Graph verschaft den Entwicklern einen Einblick in die Abhängigkeiten des eigenen Codes. Somit können die Entwickler sehen, wie der eigene Code im Zusammenhang mit anderen Projekten steht.

Unsicheren Python-Code herauszufiltern ist nicht einfach, denn es gibt kaum Python Einträge in der MITRE-CVE-Datenbank (Common Vulnerabilities and Exposures). Deswegen wird wohl GitHub eine eigene Datenbank für Python-Schwachstellen anlegen.

(pp, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE