GitLab 19.0 incorpora el escaneo de dependencias basado en SBOM para proteger frente a vulnerabilidades

El software de terceros constituye la mayor parte de las bases de código, y los recientes incidentes en la cadena de suministro lo dejan claro: un solo paquete comprometido puede afectar a todos los proyectos que dependen de él. La IA agrava el problema. Según diversas investigaciones, casi la mitad del código generado por IA contiene vulnerabilidades.

Qué ha cambiado

Los escáneres de dependencias tradicionales, incluido GitLab Gemnasium, se planteaban una sola pregunta: ¿cuáles de mis paquetes declarados tienen CVE conocidos? Cuando los árboles de dependencias eran menos profundos y los ciclos de lanzamiento mucho más lentos, este enfoque funcionaba bien. Pero la realidad actual es más compleja.

Los equipos de seguridad de aplicaciones deben responder ahora a preguntas mucho más difíciles. ¿Cómo llegó el paquete vulnerable al proyecto? ¿Qué entró con él como efecto secundario? Y, sobre todo, ¿qué dependencias utiliza realmente tu código? Las herramientas antiguas no responden a estas preguntas.

Escaneo SBOM en GitLab 19.0

Con GitLab 19.0, el escaneo de dependencias basado en SBOM (Software Bill of Materials) alcanza la disponibilidad general. Esto significa que la función ya no está en fase beta y está disponible para todos los clientes de Ultimate.

El analizador inventaría cada dependencia directa y transitiva del proyecto y muestra qué paquetes vulnerables utiliza realmente tu aplicación. Los resultados se cotejan con la GitLab Advisory Database y se marcan los problemas conocidos.

Las vulnerabilidades aparecen directamente en el merge request, de modo que los desarrolladores ven los problemas antes de enviar el código a producción. Así se evita que las vulnerabilidades lleguen al sistema en producción y se acelera su corrección.

Tres ventajas principales

Cadena de dependencias completa. El analizador traza las dependencias transitivas, sin importar cuántos niveles de anidamiento tengan. Si library-a depende de library-b, que a su vez depende de la vulnerable library-c, ves la ruta completa y sabes exactamente dónde intervenir. Esto resulta especialmente importante en proyectos grandes, donde el grafo de dependencias puede incluir miles de paquetes.

Solo las vulnerabilidades que realmente se usan. No todas las dependencias del manifiesto se ejecutan de verdad en la aplicación. En proyectos de Java, JavaScript/TypeScript y Python, el analizador comprueba si tu código importa realmente los paquetes vulnerables. Esto permite aplazar la corrección de vulnerabilidades en paquetes que no se usan y centrarse donde existe un riesgo real.

Escaneo continuo. El analizador puede ejecutarse cuando se publican nuevos avisos de seguridad, en cada merge request y en cada build. Esto es especialmente importante en proyectos cuyo desarrollo se ha ralentizado, pero cuyo código sigue funcionando en producción y necesita protección.

Qué significa

El escaneo SBOM supone un paso importante hacia una gestión más inteligente de la cadena de suministro. En lugar de una larga lista con todas las vulnerabilidades, los equipos obtienen una clasificación según el riesgo real y se ahorran semanas de correcciones que en realidad no son necesarias.

Para las organizaciones en crecimiento, los security profiles integrados permiten configurar el escaneo una sola vez y aplicarlo a todos los proyectos a la vez, sin editar manualmente cada archivo .gitlab-ci.yml.