En el ámbito del análisis de seguridad de software, el uso de CodeQL para detectar vulnerabilidades se está convirtiendo en una herramienta esencial, aunque no sin sus desafíos. Usuarios que se inician en CodeQL suelen enfrentarse a dificultades cuando sus consultas no arrojan los resultados esperados. La depuración de estas consultas representa un reto particular debido a que CodeQL utiliza un lenguaje similar a Prolog, cuya evaluación difiere de lenguajes más conocidos, como Python, complicando el uso de técnicas tradicionales de depuración.
Afortunadamente, CodeQL ofrece diversas herramientas integradas destinadas a facilitar la identificación y resolución de problemas en las consultas. El árbol de sintaxis abstracta (AST) y los gráficos de rutas parciales son componentes clave en este proceso de depuración. Además, la comunidad de usuarios tiene la posibilidad de experimentar con ejemplos y buscar apoyo en la instancia pública de Slack del GitHub Security Lab, donde ingenieros expertos en CodeQL están disponibles para brindar asistencia.
Recientemente, han surgido desafíos específicos al intentar crear una consulta de CodeQL para detectar vulnerabilidades en proyectos que utilizan el marco Gradio. Un caso particular fue presentado por un usuario que tenía como objetivo identificar variantes de una vulnerabilidad relacionada con la deserialización insegura. Esta vulnerabilidad se origina por el uso de la función pickle.load para cargar archivos proporcionados por el usuario, lo que podría derivar en ataques si se procesa un archivo malicioso.
Para abordar esta problemática, los desarrolladores deben formular consultas que realicen un seguimiento adecuado del flujo de datos, desde su entrada hasta los puntos de salida donde podrían ejecutarse códigos peligrosos, como en el caso de deserializaciones inseguras. Los usuarios son aconsejados a comenzar con ejemplos de código mínimos, lo que facilita la creación de bases de datos de CodeQL y reduce la cantidad de resultados, simplificando así el proceso de prueba de las consultas.
Usar estas estrategias, junto con la evaluación rápida de predicados y la visualización de árboles de sintaxis abstracta, permite propagar correctamente los datos a través de pasos adicionales de seguimiento. La correcta implementación de estas técnicas puede llevar a la identificación exitosa de vulnerabilidades, mejorando la comprensión de las aplicaciones y fortaleciendo su defensa frente a posibles ataques.
vía: GitHub Security
