PVS-Studio 8.01: OWASP Benchmark, поддержка JDK 25 и Go 1.27
- CNews FORUM 12 ноября
- CNews AWARDS 12 ноября
- Школа Роста
- Российский рынок облаков за 20 лет
- 30 лет рынку ERP в России
- Сеть как дом
- 10 лет российского бэкапа
- Цифровизация
- Импортозамещение
- Безопасность
- ИТ в госсекторе
- ИТ в банках
- ИТ в торговле
- Телеком
- Интернет
- ИТ-бизнес
- Рейтинги
- Инфографика
|
Компания PVS-Studio, разрабатывающая решение для обеспечения качества, надежности и защищенности исходного кода, представила новый релиз продукта — PVS-Studio 8.01. В него вошли новые диагностические правила для Java, поддержка JDK 25 и Go 1.27, а также расширенные возможности настройки анализа и фильтрации отчетов. Об этом CNews сообщили представители PVS-Studio.
В новом релизе команда разработчиков проверила SAST-правила анализатора Java на бенчмарке OWASP Benchmark for Java, предназначенном для оценки инструментов поиска уязвимостей в программном коде.
«При проверке на реальных проектах сложно объективно оценить полноту обнаружения уязвимостей: заранее неизвестно, сколько дефектов безопасности содержится в коде и какие из них анализатор мог пропустить. Использование специализированного бенчмарка позволило выявить недочеты в SAST-правилах Java анализатора и повысить эффективность обнаружения дефектов безопасности», — сказал Project Lead отдела Java разработки PVS-Studio Кирилл Епифанов.
В новой версии также появились три диагностических правила для Java, ориентированные на требования стандарта OWASP ASVS: V5341. OWASP. A cookie was created without enabling the Secure attribute. This may lead to the exposure of sensitive data; V5342. OWASP. Potentially tainted data is stored in an object that can be used as a source of trusted data; V5343. OWASP. A cryptographically weak random number is used for sensitive data.
В релизе 8.01 добавили поддержку новых версий платформ: анализатор Java теперь работает с JDK 25, а анализатор Go — с Go 1.27.
Это позволяет командам проверять проекты, использующие актуальные версии языков и стандартных библиотек, без необходимости откладывать обновление из-за ограничений инструментов статического анализа. Поддержка JDK 25 особенно актуальна для организаций, которые переходят на новую версию Java с долгосрочной поддержкой (LTS).
Для проверки MSBuild-проектов появилась возможность сохранять в JSON-отчете конфигурации проектов, которые использовались при анализе. Это упрощает исправление срабатываний, возникающих на некоторых платформах.
В отчете fullhtml, который генерирует утилита PlogConverter.exe, срабатывания теперь группируются по конфигурации анализа.
В версии 8.01 появились дополнительные параметры, позволяющие адаптировать анализатор к особенностям проекта и среды разработки.
Так, в анализаторах JavaScript и TypeScript появилась настройка max-old-space-size. Ее можно задать в файле конфигурации pvs-settings.toml или через утилиту командной строки pvs-js.exe. Параметр позволяет управлять объемом памяти, доступным Node.js-серверу анализатора.
Low/no-code-революция: новая архитектура цифровой независимости Конференция
В утилите PVS-Studio_Cmd.exe пути к кэшам зависимостей теперь можно задавать относительно файла конфигурации .pvsconfig.
В анализаторе для C и C++ расширились возможности настройки диагностических правил. Например, можно вручную указать типы, которые анализатор будет считать дешевыми для копирования, и настроить поведение анализатора в зависимости от целевой платформы.
Дополнительные параметры появились и у диагностического правила V719. Теперь можно настроить игнорирование default-ветки и небольших перечислений enum, задать конкретные игнорируемые значения и допустимое количество игнорируемых констант.
В PlogConverter — утилите для преобразования и фильтрации отчетов — появилась возможность фильтрации срабатывания по идентификаторам CWE и SAST. Эта функция может быть полезна при анализе результатов с учетом требований ГОСТ Р 71207—2024. В частности, она позволяет выделять срабатывания, которые классифицируются стандартом как критические ошибки и имеют идентификатор SAST с префиксом SEC.
В этом релизе произошло изменение, которое ломает обратную совместимость с предыдущими версиями анализатора. В связи с этим может потребоваться изменить способ его использования.
В установщике PVS-Studio для Windows был добавлен код возврата 100, который выдается при неудачной установке плагинов для Visual Studio. Также был добавлен флаг skipVSIXInstallErrorCode для отключения ненулевого кода возврата в таком случае.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.