Règles Semgrep publiques de Trail of Bits

Ce dépôt contient des règles Semgrep développées par Trail of Bits et mises à la disposition du public. Elles font partie de nos efforts de développement continus et sont utilisées dans nos audits de sécurité, nos recherches de vulnérabilités et nos projets internes. Elles évolueront au fil du temps à mesure que nous identifierons de nouvelles techniques.

Consultez le Testing Handbook pour des conseils sur Semgrep.

Utiliser Semgrep

Le moyen le plus simple d'exécuter les règles est de les lancer depuis le registre Semgrep. Pour ce faire, accédez au dossier racine de votre projet et exécutez la commande suivante :```shell $ semgrep --config "p/trailofbits"

Vous pouvez également cloner ce dépôt, naviguer vers le dossier racine de votre projet et exécuter des règles individuelles à l'aide de la commande ci-dessous :```shell
$ semgrep --config /path/to/semgrep-rules/semgreprule.yml

Pour exécuter toutes les règles à partir du dépôt cloné:```shell $ semgrep --config /path/to/semgrep-rules/ .

## Options utiles

Semgrep s'exécutera sur tous les fichiers de code pris en charge, à l'exception de ceux présents dans votre fichier `.gitignore`. Si vous souhaitez exécuter les règles sur tous les fichiers et répertoires, y compris ceux de votre `.gitignore`, ajoutez l'option `--no-git-ignore`.```shell
$ semgrep --config /path/to/semgrep-rules/ . --no-git-ignore

ID	Playground	Impact	Confiance	Description
eth-rpc-tracetransaction	🛝🔗	🟥	🌕	Détecte les tentatives d'extraction d'informations de trace à partir d'une transaction ou d'un bloc EVM. Dans les applications d'échange ou de pont, une logique supplémentaire doit être implémentée pour encapsuler ces points de terminaison afin d'éviter que les valeurs transférées lors de frames d'appel annulées soient comptabilisées.
eth-txreceipt-status	🛝🔗	🟥	🌕	Détecte quand le statut d'un reçu de transaction est lu
hanging-goroutine	🛝🔗	🟩	🌗	Fuites de goroutines
invalid-usage-of-modified-variable	🛝🔗	🟧	🌘	Affectation potentiellement non intentionnelle lorsqu'une erreur se produit
iterate-over-empty-map	🛝🔗	🟩	🌗	Itération probablement redondante sur une map vide
missing-runlock-on-rwmutex

ID	Playground	Impact	Confiance	Description
automatic-memory-pinning	🛝🔗	🟩	🌘	Mémoire `PyTorch` non épinglée automatiquement
lxml-in-pandas	🛝🔗	🟧	🌘	Attaques XXE potentielles liées au chargement de `lxml` dans pandas
msgpack-numpy	🛝🔗	🟥	🌗	Exécution de code arbitraire potentielle à partir de fonctions dépendant du pickling
numpy-distutils	🛝🔗	🟩	🌘	Utilisation de `numpy.distutils` obsolète
numpy-f2py-compile	🛝🔗	🟥	🌗	Exécution de code arbitraire potentielle à partir de la compilation `f2py` de `NumPy`
numpy-in-pytorch-datasets	🛝🔗

ID	Playground	Impact	Confiance	Description
schema-directives	🛝🔗	🟥	🌗	Utilisation de l'option ApolloServer obsolète 'schemaDirectives'
use-of-graphql-upload	🛝🔗	🟧	🌕	Utilisation de la bibliothèque graphql-upload
v3-potentially-bad-cors	🛝🔗	🟧	🌕	Politique CORS potentiellement incorrecte
v3-express-bad-cors	🛝🔗	🟥	🌗	Politique CORS incorrecte
v3-express-no-cors	🛝🔗	🟩	🌘	Absence de politique CORS
v3-bad-cors	🛝🔗

ID	Playground	Impact	Confiance
action-dispatch-insecure-ssl	🛝🔗	🟥	🌘
action-mailer-insecure-tls	🛝🔗	🟥	🌘
active-record-encrypts-misorder	🛝🔗	🟥	🌘
active-record-hardcoded-encryption-key	🛝🔗	🟥	🌘
faraday-disable-verification	🛝🔗	🟥	🌘
global-timeout	🛝🔗	🟩	🌘
insecure-rails-cookie-session-store

ID	Playground	Impact	Confiance
docker-hardcoded-password	🛝🔗	🟥	🌘
docker-privileged-mode	🛝🔗	🟩	🌘
podman-tls-verify-disabled	🛝🔗	🟩	🌘
root-user	🛝🔗	🟩	🌘
tls-hostname-verification-disabled	🛝🔗	🟥	🌘
aws-oidc-role-policy-duplicate-condition	🛝🔗	🟥	🌘
aws-oidc-role-policy-missing-sub

semgrep-rules

Populaires

Règles

go

python

rs

javascript

ruby

hcl

jvm

yaml| ID | Playground | Impact | Confiance | Description |

generic

swift

Contribuer

Licence

ID	Playground	Impact	Confiance	Description
gc-call	🛝🔗	🟩	🌘
mongo-hostname-verification-disabled	🛝🔗	🟥	🌘

ID	Playground	Impact	Confiance
amqp-unencrypted-transport	🛝🔗	🟥	🌘
container-privileged	🛝🔗	🟥	🌗
container-user-root	🛝🔗	🟥	🌗
curl-insecure	🛝🔗	🟥	🌗
curl-unencrypted-url	🛝🔗	🟥	🌗
gpg-insecure-flags	🛝🔗	🟥	🌗
installer-allow-untrusted	🛝🔗