GitLab 19.0 lança varredura de dependências baseada em SBOM para proteger contra vulnerabilidades

Software de terceiros compõe a maior parte das bases de código, e incidentes recentes na cadeia de suprimentos deixam claro que um único pacote comprometido pode atingir todos os projetos que dependem dele. A IA agrava o problema: pesquisas indicam que quase metade do código gerado por IA contém vulnerabilidades.

O que mudou

Os scanners de dependências tradicionais, incluindo o Gemnasium do GitLab, faziam uma única pergunta: quais dos meus pacotes declarados têm CVEs conhecidas? Quando as árvores de dependências eram mais rasas e os ciclos de lançamento bem mais lentos, essa abordagem funcionava bem. Hoje, a realidade é mais complexa.

As equipes de segurança de aplicações agora precisam responder a perguntas bem mais difíceis. Como o pacote vulnerável entrou no projeto? O que veio junto com ele como efeito colateral? E, principalmente, quais dependências o seu código realmente usa? As ferramentas antigas não respondem a essas perguntas.

Varredura SBOM no GitLab 19.0

No GitLab 19.0, a varredura de dependências baseada em SBOM (Software Bill of Materials) chega à disponibilidade geral. Ou seja, o recurso saiu do beta e está disponível para todos os clientes Ultimate.

O analisador faz o inventário de cada dependência direta e transitiva do projeto e mostra quais pacotes vulneráveis a sua aplicação de fato utiliza. Os resultados são comparados com o GitLab Advisory Database, e os problemas conhecidos são sinalizados.

As vulnerabilidades aparecem diretamente no merge request, então os desenvolvedores enxergam os problemas antes de o código ir para produção. Isso impede que vulnerabilidades cheguem ao ambiente de produção e acelera as correções.

Três principais vantagens

Cadeia completa de dependências. O analisador rastreia dependências transitivas, independentemente de quantos níveis de aninhamento existam. Se a library-a depende da library-b, que depende da library-c vulnerável, você vê o caminho completo e sabe exatamente onde intervir. Isso é especialmente importante em projetos grandes, nos quais o grafo de dependências pode chegar a milhares de pacotes.

Apenas vulnerabilidades realmente usadas. Nem toda dependência listada no manifesto é de fato executada pela aplicação. Em projetos Java, JavaScript/TypeScript e Python, o analisador verifica se o seu código realmente importa os pacotes vulneráveis. Assim, dá para adiar a correção de vulnerabilidades em pacotes não utilizados e concentrar esforços onde há risco real.

Varredura contínua. Execute o analisador quando novos advisories forem publicados, a cada merge request e a cada build. Isso é especialmente importante para projetos cujo desenvolvimento desacelerou, mas cujo código continua rodando em produção e precisa de proteção.

O que isso significa

A varredura SBOM é um passo importante rumo a uma gestão mais inteligente da cadeia de suprimentos. Em vez de uma longa lista com todas as vulnerabilidades, as equipes recebem uma priorização por risco real e economizam semanas em correções que, na prática, não são necessárias.

Para organizações em crescimento, os security profiles integrados permitem configurar a varredura uma única vez e aplicá-la a todos os projetos de uma só vez, sem editar manualmente cada arquivo .gitlab-ci.yml.