CodeScoring Updates

😃 Обновление CodeScoring 2026.35.0

В версии 2026.35.0 основной акцент сделан на том, чтобы компоненты и связанные с ними риски можно было рассматривать не только внутри отдельного проекта. Платформа начала объединять сведения из SCA и OSA, точнее сопоставлять вызовы с уязвимыми функциями и быстрее обрабатывать большие объёмы данных.

🔖 Раздел «Каталог»

«Каталог» — это новый раздел, который собирает сведения о программных компонентах независимо от того, в каком проекте или сценарии анализа они обнаружены. В его основе лежит иерархия «библиотека → пакет → зависимость». Такая иерархия нужна, чтобы агрегировать данные и в дальнейшем управлять общими свойствами компонентов выше уровня отдельной зависимости.

В новой версии доступен первый подраздел «Пакеты». В общем списке собраны конкретные версии пакетов, количество связанных уязвимостей и появления в разных сценариях анализа. На странице пакета можно посмотреть его метаданные, уязвимости и проекты, в которых он обнаружен. Так один компонент можно рассматривать вне отдельного анализа, не собирая отдельно сведения по разным разделам платформы.

🧩 Более точный анализ достижимости

В новой версии механизм анализа достижимости использует путь к исходному файлу вместе с сигнатурой функции, когда эти данные есть в графе вызовов. Это помогает отличать одноимённые методы из разных библиотек и уменьшает число ложных отметок о достижимости.

Статус «Доступен анализ» показывает, что в базе знаний есть сведения об уязвимых функциях, но проект был проанализирован без проверки достижимости. Эти данные также включены в SBOM и PDF-отчёты SCA.

⚡ Поиск клонированных уязвимостей в Java

Уязвимый код может попасть из одной библиотеки в другую, хотя публичные источники продолжают связывать CVE только с исходным компонентом. Наш новый собственный фид CodeScoring Cloned Vulnerabilities (CSCV) сопоставляет такие Maven-пакеты с исходной CVE и исходной библиотекой, чтобы находить уязвимость и в компонентах с заимствованным кодом.

➡️ Обновлённый интерфейс SCA-проекта

Работа с результатами SCA-анализа разделена по отдельным задачам. На основном экране проекта теперь можно сразу перейти к основным действиям, таким как настройка зависимостей или разбор приоритетных уязвимостей. Алерты, уязвимости и зависимости получили собственные вкладки и фильтры, а таблицы загружаются постранично. Также для каждой зависимости можно раскрыть и скопировать полный список файлов проекта, в которых она обнаружена.

✅ Генерация PDF-отчётов для больших объёмов данных

Механизм формирования PDF-отчётов переехал на новый движок. Теперь он потребляет меньше памяти и быстрее обрабатывает большие выгрузки, а обновлённый дизайн компактнее представляет сводные данные и таблицы.

Полный список изменений доступен на странице changelog в документации.

🦊 Обновление CodeScoring 2026.27.0

В версии 2026.27.0 основной акцент сделан на ускорении результатов анализа и улучшении интерфейса платформы. Также расширилось покрытие технологий и появились новые инструменты для поиска секретов.

⚡ Ускорение расчета политик

В данном релизе завершён ключевой этап большого архитектурного перехода – расчёт политик во всех модулях переведён на сервис Judge, написанный на Go, который уже использовался в OSA Proxy. По результатам нашего нагрузочного тестирования общее время выполнения SCA-анализа сократилось на 30–40%.

🔖 Улучшения интерфейса

В платформе переработана панель фильтров на ключевых страницах. Наиболее востребованные параметры теперь видны сразу, остальные собраны в меню «Ещё».

Порядок фильтров пересмотрен с учётом частых сценариев работы. В длинных списках появился поиск, а для дат и числовых значений можно задать только начальную или конечную границу диапазона. Единый подход к фильтрации теперь применяется по всей платформе.

Также на основном дашборде появился новый график воронки уязвимостей, который последовательно сужает общий объём найденных уязвимостей в CodeScoring.SCA до тех, которые требуют внимания команды в первую очередь.

🔖 Новые экосистемы и интеграции

CodeScoring и агент Johnny получили поддержку проектов на языке R. Агент обрабатывает файлы DESCRIPTION и renv.lock и поддерживает локальное разрешение зависимостей для renv.

Также добавлена поддержка пакетного менеджера Hex для трёх языков экосистемы BEAM:

⭕ Elixir – mix.exs и mix.lock;
⭕ Erlang – rebar.config и rebar.lock;
⭕ Gleam – gleam.toml и manifest.toml.

Johnny обрабатывает эти форматы и разрешает зависимости средствами соответствующих пакетных менеджеров. Помимо этого добавлена поддержка файлов libs.versions.toml и settings.gradle.* для Java, Kotlin и Groovy экосистем.

Также CodeScoring.OSA теперь поддерживает подключение платформы GitFlic в качестве менеджера репозиториев.

🔐 Kingfisher в CodeScoring.Secrets

В CodeScoring.Secrets добавлена поддержка сканирования движком Kingfisher. Его можно использовать наряду с Gitleaks и TruffleHog, в том числе с собственной конфигурацией и набором правил.

Результаты сохраняются и дедуплицируются в общем рабочем контуре модуля.

✅ Расширенное управление доступом через OIDC

В CodeScoring появилось сопоставление данных авторизации от OIDC-провайдера с группами и уровнями доступа в платформе. Правила применяются при входе и назначают права на основе данных корпоративного провайдера идентификации.

Администратор также может ограничить вход значениями из выбранного пользовательского атрибута – например, допускать только пользователей из заданных групп.

Полный список изменений доступен на странице changelog в документации.

😃 Обновление CodeScoring 2026.20.0

В версии 2026.20.0 основной акцент сделан на разборе находок, приоритизации и организации результатов по проектам и образам.

Отдельное внимание уделили работе с составом компонентов: в платформе появились инструменты для работы с внутренними пакетами, новые данные для оценки уязвимостей и дополнительные возможности при импорте и выгрузке SBOM.

🧩 Триаж уязвимостей по стандарту VEX

В CodeScoring.SCA появился механизм триажа уязвимостей по стандарту VEX. Теперь для найденных уязвимостей можно назначать статус, указывать обоснование и фиксировать принятые решения.

Разбор уязвимостей стал ближе к рабочему процессу команды: по каждой находке можно не только увидеть технические данные, но и сохранить результат ручного анализа, например подтверждение проблемы или решение о том, что уязвимость не затрагивает проект.

Также обновлены данные и возможности работы с уязвимостями:

⭕ добавлены условия политик для отозванных зависимостей и ПО-вымогателей;
⭕ в экспериментальном режиме добавлена поддержка графа вызовов Joern для JavaScript для анализа достижимости уязвимых функций;
⭕ добавлен источник CISA KEV Catalog;
⭕ добавлены столбцы и фильтры по EPSS и SSVC;
⭕ обновлена логика отображения статуса отзыва.

🧩 CodeScoring.Secrets и TruffleHog

В CodeScoring.Secrets добавлена поддержка сканирования движком TruffleHog. Разные движки находят разные секреты, а CodeScoring дедуплицирует находки, чтобы команда работала с единым результатом без ручного сопоставления повторов.

Johnny также получил поддержку TruffleHog. Помимо этого в агенте расширены сценарии сканирования секретов: добавлены git-режим, флаг --commit для сканирования директорий и флаги для передачи конфигураций Gitleaks и TruffleHog.

🔖 Слои контейнерных образов

В CodeScoring.OSA появилась отдельная страница списка слоев образов. Также таблицы слоев добавлены на страницу отсканированного образа в проекте и на страницу контейнерного образа.

Для работы со слоями в Johnny добавлены команды создания слоев контейнерных образов.

⚡ Внутренние пакеты и SBOM

Для работы с внутренними пакетами (inner source) добавлены настройки на странице зависимостей проекта и фильтрация при выгрузке SBOM. Речь о пакетах, которые компания разрабатывает внутри и не публикует в open source.

При импорте SBOM Johnny теперь обрабатывает свойства GOST:provided_by, inner_source и source-distribution.

✅ Управление ветками проектов

Отдельно продолжается работа над более гибкой моделью версий в SCA-проектах. В этом релизе стали видны отдельные элементы этой модели: теперь ветками можно управлять в настройках проекта.

Полный список изменений доступен на странице Changelog в документации.