GitLab 19.0 lance l'analyse des dépendances basée sur le SBOM pour contrer les vulnérabilités

Le logiciel tiers constitue l'essentiel des bases de code, et les récents incidents dans la chaîne d'approvisionnement le rappellent : un seul paquet compromis peut contaminer tous les projets qui en dépendent. L'IA aggrave le problème : selon plusieurs études, près de la moitié du code généré par IA contient des vulnérabilités.

Ce qui a changé

Les scanners de dépendances traditionnels, dont Gemnasium de GitLab, posaient une seule question : parmi mes paquets déclarés, lesquels présentent des CVE connues ? Tant que les arbres de dépendances restaient peu profonds et les cycles de publication nettement plus lents, cette approche fonctionnait plutôt bien.

La réalité actuelle est plus complexe. Les équipes de sécurité applicative doivent désormais répondre à des questions bien plus difficiles. Comment le paquet vulnérable est-il entré dans le projet ? Qu'a-t-il apporté avec lui au passage ? Et surtout, quelles dépendances votre code utilise-t-il réellement ? Les anciens outils n'y répondent pas.

L'analyse SBOM dans GitLab 19.0

Avec GitLab 19.0, l'analyse des dépendances basée sur le SBOM (Software Bill of Materials) passe en disponibilité générale. La fonction n'est donc plus en bêta et s'ouvre à tous les clients Ultimate.

L'analyseur inventorie chaque dépendance directe et transitive du projet et indique quels paquets vulnérables votre application utilise réellement. Il compare les résultats à la GitLab Advisory Database et signale les problèmes connus.

Les vulnérabilités s'affichent directement dans la merge request : les développeurs voient les problèmes avant que le code parte en production. Les vulnérabilités n'atteignent ainsi pas le système en production, et la correction s'accélère.

Trois atouts majeurs

Chaîne de dépendances complète. L'analyseur retrace les dépendances transitives, quel que soit le niveau d'imbrication. Si library-a dépend de library-b, qui dépend elle-même de library-c, vulnérable, vous voyez le chemin complet et savez précisément où intervenir. C'est particulièrement utile sur les grands projets, dont le graphe de dépendances peut compter des milliers de paquets.

Uniquement les vulnérabilités réellement exploitées. Toutes les dépendances du manifeste ne tournent pas forcément dans l'application. Pour les projets Java, JavaScript/TypeScript et Python, l'analyseur vérifie si votre code importe effectivement les paquets vulnérables. Vous pouvez ainsi reporter la correction des vulnérabilités dans les paquets inutilisés et vous concentrer sur les risques réels.

Analyse continue. Lancez l'analyseur à la publication de nouveaux avis de sécurité, à chaque merge request et à chaque build. C'est particulièrement important pour les projets dont le développement a ralenti, mais dont le code tourne toujours en production et doit rester protégé.

Ce que cela signifie

L'analyse SBOM marque une avancée sérieuse vers une gestion plus intelligente de la chaîne d'approvisionnement. Au lieu d'une longue liste de toutes les vulnérabilités, les équipes obtiennent un classement par risque réel et économisent des semaines de corrections qui ne sont en réalité pas nécessaires.

Pour les organisations en croissance, les security profiles intégrés permettent de configurer l'analyse une seule fois et de l'appliquer à tous les projets d'un coup, sans modifier à la main chaque fichier .gitlab-ci.yml.