TL;DR

  • Mejoras de rendimiento para análisis de taint interarchivos en Semgrep Pro (20-40%).
  • Procesamiento paralelo para configuraciones de taint, acelerando escaneos interarchivos.
  • Requisitos de sistema actualizados para binarios Linux (glibc >=2.35).

Key Changes

Semgrep v1.158.0 presenta actualizaciones importantes centradas en el rendimiento, la compatibilidad del sistema y correcciones de errores.

Nuevas Funcionalidades y Rendimiento: Esta versión mejora significativamente el rendimiento de los escaneos interarchivos. El cálculo de las configuraciones de taint, que consume una parte considerable del tiempo de semgrep-core, ahora se realiza en paralelo, aumentando la eficiencia. Los usuarios de Semgrep Pro experimentarán un motor interarchivos rediseñado, que ofrece una mejora de rendimiento estimada del 20-40% en el análisis de taint. Este rediseño podría alterar ligeramente la generación de hallazgos, resultando potencialmente en más true positives o menos false positives. También se añadió un nuevo supply chain hook para el Semgrep Plugin.

Actualizaciones de Compatibilidad del Sistema: Los binarios de semgrep-core para macOS, manylinux y musllinux ahora están vinculados dinámicamente. Para los binarios manylinux, esto introduce un requisito mínimo de versión de glibc >=2.35, afectando a sistemas como Ubuntu <22.04 o Debian <12. Los usuarios con distribuciones Linux más antiguas necesitarán actualizar su sistema operativo para cumplir con esta nueva dependencia. Los wheels de PyPI correspondientes ahora están etiquetados para reflejar estos requisitos de glibc y musl libc.

Correcciones: Se han solucionado varios problemas, incluyendo errores de inicio de sesión en IDE donde fallos de red borraban incorrectamente los tokens guardados. La salida de SARIF taint trace ha sido mejorada, utilizando ahora URIs de archivo correctos e incluyendo trazas completas de llamadas a taint sink. El flag --x-mem-policy ahora se propaga correctamente al subproceso RPC, solucionando problemas de ajuste de memoria para la resolución de dependencias.

Para detalles completos, consulte el changelog oficial.

Impact for QA Teams

Los equipos de QA pueden esperar una retroalimentación más rápida de los escaneos de seguridad, especialmente al usar Semgrep Pro en pipelines de CI/CD, permitiendo una identificación más ágil de posibles vulnerabilidades. El análisis de taint rediseñado podría ofrecer hallazgos más precisos, reduciendo el tiempo dedicado a falsos positivos. No obstante, los usuarios de Linux deben verificar su versión de glibc del sistema operativo para evitar problemas de compatibilidad con los nuevos binarios.