스코프 및 오프셋을 사용한 취약점 추적

소스 코드는 소스 코드 관리 시스템을 통해 관리되고 하나 이상의 정적 애플리케이션 보안 테스트 스캐너는 소스 코드를 취약점에 대해 확인한다. 스캐너는 취약점 추적기에 의해 처리되는 취약점 보고서를 생성한다. 취약점 추적기는 소스 코드로부터 식별된 취약점의 스코프를 계산하고 스코프 및 오프셋 핑거프린트(예를 들어, 주변 스코프에 기초하여 취약점을 고유하게 식별하는 해시)를 생성한다. 핑거프린트는 중복 제거 및 취약점 추적에 사용된다. 취약점 추적기는 대응하는 핑거프린트로 중복 제거된 취약점 세트를 포함하는 정제된 취약점 보고서를 생성할 수 있다. 정제된 취약점 보고서 및 관련 데이터는 취약점 관리에 사용하기 위해 취약점 데이터베이스에 저장될 수 있다. A system or a method for analyzing a software project for vulnerabilities. The system extracts scopes of source code, each of which is a source code block that contains a definition of an entity. The system also receives a vulnerability report relating to the source code. The vulnerability report identifies a vulnerability at a line of the source code. The system identifies a subset of the scopes of source code that contains the line of source code where the vulnerability is identified. The system identifies, based on smatch values, a minimum scope among the subset of the scopes that contains the line of source code where the vulnerability is identified, and generates a scoped vulnerability report recording the minimum scope and the vulnerability.