このバージョンの GitHub Enterprise サーバーはこの日付をもって終了となりました: 2024-07-09. 重大なセキュリティの問題に対してであっても、パッチリリースは作成されません。 パフォーマンスの向上、セキュリティの向上、新機能の向上を図るために、最新バージョンの GitHub Enterprise サーバーにアップグレードしてください。 アップグレードに関するヘルプについては、GitHub Enterprise サポートにお問い合わせください。

CodeQL 分析のための Go クエリ

default または security-extended クエリ スイートを選択時、CodeQL が Go (Golang) のコード分析に使用するクエリについて詳しく見てみましょう。

この機能を使用できるユーザーについて

Code scanning は、GitHub Enterprise Server の Organization 所有のリポジトリで利用できます。 この機能には、GitHub Advanced Security のライセンスが必要です。 詳しくは、「GitHub Advanced Security について」を参照してください。

CodeQL には、Go コードを分析するためのクエリが多数含まれています。 default クエリ スイート内のすべてのクエリは、既定で実行されます。 security-extended クエリ スイートを使用する場合は、追加のクエリが実行されます。 詳しくは、「CodeQL クエリ スイート」を参照してください。

Go 分析用の組み込みクエリ

次の表に、最新リリースの CodeQL アクションと CodeQL CLI で使用できるクエリを示します。 詳細については、CodeQL ドキュメントにある CodeQL クエリに関するページを参照してください。

注: GitHub Enterprise Server 3.9 の最初のリリースには、CodeQL アクションと CodeQL CLI 2.12.7 が含まれていました。これには、これらのクエリがすべて含まれていない場合があります。 サイト管理者は、CodeQL バージョンを新しいリリースに更新できます。 詳しくは、「アプライアンス用コードスキャンの構成」を参照してください。

クエリ名関連する CWEデフォルト値ExtendedAutofix
アーカイブ抽出中の任意のファイル アクセス ("Zip Slip")022
シンボリック リンクを含むアーカイブを抽出する任意のファイル書き込み022
リダイレクトチェックが正しくない601
機密情報のクリア テキスト ログ312, 315, 359
ユーザーが制御するソースからビルドされたコマンド078
ユーザーが制御するソースから構築されたデータベース クエリ089
無効な TLS 証明書のチェック295
電子メールコンテンツ インジェクション640
ホスト名の不完全な正規表現20
不完全な URL スキームのチェック020
整数型間の不適切な変換190, 681
スタック トレースを介した情報の露出209, 497
セキュリティで保護されていない TLS 構成327
JWT 署名チェックがない347
正規表現アンカーがない20
リダイレクト URL を開く601
安全でない可能性がある引用符078, 089, 094
反映されたクロスサイト スクリプティング079, 116
割り当てのサイズ計算がオーバーフローする可能性がある190
過剰なサイズ値によるスライスのメモリ割り当て770
正規表現内の疑わしい文字20
ネットワーク要求で使用される制御されないデータ918
パス式で使用される制御されないデータ022, 023, 036, 073, 099
脆弱な暗号化キーの使用326
OAuth 2.0 URL での定数 state 値の使用352
安全でない HostKeyCallback 実装の使用322
暗号アルゴリズムのキーとしての不十分なランダム性の使用338
XPath インジェクション643
ハードコーディングされた認証情報259, 321, 798
ユーザー入力から作成されたログ エントリ117