CodeRabbit Secure prüft Schwachstellen per Laufzeitverifizierung

Aus einem Schwachstellenfund einen reproduzierbaren Test machen

Eine Anfrage zu senden und die Antwort zu prüfen, reicht nicht aus, um eine vermutete Schwachstelle zu verifizieren. Die Anwendung muss laufen, die erforderlichen Abhängigkeiten müssen verfügbar sein und die Anfrage muss den untersuchten Code erreichen. Im Beispiel von CodeRabbit erfordert der Test eines Endpunkts, der offenbar einem Nutzer den Abruf des Dokuments eines anderen Nutzers ermöglicht, zwei authentifizierte Nutzer, den Eigentümer des Dokuments und eine laufende Anwendung.

CodeRabbit Secure erstellt aus den Deep-Scan-Funden eine Anleitung namens Reproducer Guide. Sie fasst die erforderlichen Vorbereitungen, die auszuführenden Schritte und die Beobachtungen zusammen, die den Fund stützen oder infrage stellen könnten. Entwickler können der Anleitung in ihrer eigenen Testumgebung folgen oder sie mit Runtime Analysis in einer vorbereiteten CodeRabbit-Umgebung ausführen.

Vor der Erstellung der Anleitung prüft das System erneut, ob der frühere Fund noch besteht, da sich der Code inzwischen geändert haben kann. Ist das Problem nicht mehr vorhanden oder das Verifizierungsergebnis nicht eindeutig, wird die Erstellung der Anleitung abgebrochen. Der Lauf verwendet die in der veröffentlichten Anleitung aufgezeichnete Codeversion. Das alleinige Drücken der Schaltfläche Run prüft den Fund nicht erneut und testet nicht automatisch den neuesten Quellcode.

Voraussetzungen für die Ausführung und Belege

Für die Nutzung von Runtime Analysis muss das Repository über eine vorbereitete CodeRabbit-Coding-Umgebung verfügen. Sie muss die Abhängigkeiten, die Konfiguration und die Anweisungen zum Starten der Anwendung enthalten. Teams können außerdem die automatisierte Verifizierung aktivieren. In diesem Fall erstellt das System nach jedem Deep Scan Anleitungen für neue Funde in ausgewählten Schweregraden und führt sie in der vorbereiteten Standardumgebung des Repositorys aus.

Das Starten des Anwendungsprozesses beweist allein nicht, dass die Anwendung für Tests bereit ist. Ein Dienst kann zwar an einem Port lauschen, während eine erforderliche Abhängigkeit nicht verfügbar ist. Auch ein Authentifizierungsfehler kann verhindern, dass die Anfrage den untersuchten Endpunkt erreicht. Deshalb enthält das Ergebnis die Indikatoren Application ready und Target exercised. Sie zeigen, ob CodeRabbit feststellen konnte, dass die Anwendung bereit war und der relevante Codepfad ausgeführt wurde.

CodeRabbit empfiehlt, eine separate Testumgebung zu verwenden und für Tests keine Zugangsdaten aus der Produktion einzusetzen. Der Agent kann auf Variablen zugreifen, die in der ausgewählten Umgebung konfiguriert sind, einschließlich Geheimnissen. Diese dürfen nicht in Testskripten oder Befehlen ausgegeben werden, da die Ausgabe als Beleg gespeichert werden kann.

Drei mögliche Ergebnisse mit begrenzter Aussagekraft

Runtime Analysis liefert einen von drei Zuständen. Reproduced bedeutet, dass der Lauf unter den getesteten Bedingungen Belege für den Fund erbracht hat. Bei Not reproduced wurde das Problem im Lauf nicht reproduziert, mit anderen Eingaben oder Konfigurationen sind jedoch weiterhin andere Ergebnisse möglich. Der Zustand Inconclusive zeigt an, dass das System keine belastbare Schlussfolgerung ziehen konnte. Das Ergebnis erläutert die Gründe und Einschränkungen.

Jedes Ergebnis gilt für die getestete Codeversion und Umgebung. Im Beispiel mit dem Dokumentzugriff beweist eine 403-Antwort nur dann, dass die Autorisierungsprüfung funktioniert, wenn die Anfrage die Eigentumsprüfung erreicht hat. Eine Anfrage, die wegen einer fehlenden Sitzung abgewiesen wurde, testet dies nicht. Ebenso bedeutet ein Ergebnis „not reproduced“ nicht automatisch, dass die Anwendung sicher ist. Haben Konfigurationsprobleme einen aussagekräftigen Test verhindert, sollte das Ergebnis inconclusive bleiben.

Der Workflow trennt Testplan, Ausführung und Auswertung. Dadurch können Entwickler die Annahmen der Anleitung vor der Ausführung prüfen, den Test in ihrer eigenen Umgebung durchführen und die Ausführungsdetails sowie die unterstützenden Belege zusammen mit dem Ergebnis aufbewahren.