AppSec.Wave начал выявлять уязвимости в коде на 1С

Компания AppSec Solutions сообщила о расширении возможностей своего инструмента статического анализа кода AppSec.Wave — теперь он поддерживает программное обеспечение, написанное на языке 1С. Это позволит применять инструмент для проверки безопасности в бизнесе, активно использующем ПО на основе российского языка программирования. Об этом SecPost сообщили в компании.

По данным компании, ПО на 1С применяется в финтехе, госсекторе, девелопменте и других отраслях, где важна защищенность чувствительных данных. Ранее AppSec.Wave поддерживал JavaScript, Python, Go, C++, Java, PHP, Ruby и C#. Теперь к этому списку добавился язык, необходимый при разработке систем для критической инфраструктуры.

Как отмечают в AppSec Solutions, поддержка 1С в инструментах анализа кода на практике часто сводится к набору поисковых шаблонов по тексту конфигурации: поиску вызовов известных опасных методов, строк с конкатенацией текста запроса или явного отключения проверки прав. В компании заявляют, что в AppSec.Wave реализован полноценный taint-анализ: движок строит дерево вызовов внутри модуля, прослеживает путь от источника недоверенных данных до опасной операции и показывает каждый шаг с указанием файла и номера строки. Уязвимость в 1С, как поясняют в компании, почти никогда не выглядит как одна подозрительная строка — она складывается из нескольких синтаксически корректных фрагментов кода.

Продолжение ниже

Ранее AppSec.Wave был интегрирован с MCP-сервером для взаимодействия с Claude Code, Cursor и другими решениями для анализа уязвимостей на ранних этапах разработки. Как сообщили в компании, разработчики, пишущие код с помощью ИИ-сред, могут автоматически проверять сгенерированное ПО на уязвимости. Помимо этого, AppSec Solutions расширила возможности анализатора open-source компонентов AppSec.Track для поиска несуществующих или вредоносных сторонних пакетов.