Semgrep v1.167.0: Omisión de Binarios y Propagación de Constantes

TL;DR

  • Semgrep omite archivos binarios por defecto, mejorando el rendimiento del escaneo.
  • La propagación de constantes mejorada soporta más operadores para un análisis preciso.
  • Nuevo campo nosemgrep_disabled permite el control centralizado de comentarios nosemgrep.

Key Changes

Semgrep v1.167.0, lanzado el 17 de junio de 2026, introduce varias mejoras enfocadas en el rendimiento y la precisión del análisis. Para detalles completos, consulte las notas de lanzamiento oficiales.

Added

  • Propagación de Constantes Mejorada: El motor ahora soporta un rango más amplio de operadores para la propagación de constantes, incluyendo resta, división, operaciones bit a bit, desplazamientos de bits y comparaciones. Esto resulta en un análisis de flujo de datos más preciso.
  • Control Centralizado de nosemgrep: Un nuevo campo nosemgrep_disabled en la configuración de escaneo permite a las plataformas deshabilitar globalmente los comentarios de ignorar en línea nosemgrep para escaneos específicos.
  • Omisión de Archivos Binarios por Defecto: Semgrep ahora omite automáticamente los archivos binarios (ej. imágenes, archivos comprimidos, ejecutables compilados) durante los escaneos, detectados mediante extensiones de archivo y “magic bytes”. Esto mejora significativamente la velocidad del escaneo. Para escanear archivos binarios, use el flag --no-exclude-binary-files.

Fixed

  • Precisión de Salida SARIF: El comando semgrep ci con --sarif ahora completa correctamente el campo ignores con hallazgos suprimidos por nosemgrep, alineándose con otros formatos de salida.

Infra/Release Changes

  • Actualización de Tree-sitter Core: El submódulo ocaml-tree-sitter-core ha sido actualizado, aportando una seguridad de hilos mejorada y actualizando la opción interna de Tree-sitter CLI de 0.20.6 a 0.20.8.

Impact for QA Teams

Los equipos de QA experimentarán escaneos de análisis estático más rápidos debido a la omisión por defecto de archivos binarios. La propagación de constantes mejorada aumenta la precisión de los hallazgos de seguridad y calidad, reduciendo falsos positivos y negativos. La capacidad de deshabilitar centralmente los comentarios nosemgrep ofrece un mayor control sobre el cumplimiento y la aplicación de políticas, mientras que la salida SARIF mejorada asegura informes consistentes para los hallazgos suprimidos.

FAQ

  • P: ¿Cuál es la principal mejora de rendimiento en esta actualización?
    • R: Semgrep ahora omite archivos binarios por defecto, lo que reduce significativamente el tiempo de escaneo en repositorios con muchos activos que no son código fuente.
  • P: ¿Cómo beneficia la propagación de constantes mejorada al análisis?
    • R: Permite a Semgrep rastrear el flujo de datos con mayor precisión, lo que lleva a una detección más exacta de vulnerabilidades y problemas de calidad de código.
  • P: ¿Se pueden ignorar globalmente los comentarios en línea de nosemgrep?
    • R: Sí, el nuevo campo nosemgrep_disabled en la configuración de escaneo permite a las plataformas deshabilitar estos comentarios a nivel de organización.