Nouveautés dans HCL AppScan® Enterprise
Cette section décrit les nouvelles fonctionnalités et améliorations du produit AppScan Enterprise dans cette version, ainsi que les dépréciations et les changements anticipés, le cas échéant.
Nouveautés dans HCL AppScan® Enterprise 10.10.0
- Détection de pages d'erreur alimentée par l'AI générative : Intelligent Finding Analytics (IFA) exploite désormais Azure OpenAI pour améliorer la détection des pages d'erreur dans les Tests de sécurité d'applications dynamiques (DAST). Cette intégration utilise l'AI Générative pour confirmer les erreurs et gérer les cas limites, améliorant considérablement la précision, réduisant les faux positifs et minimisant les temps d'analyse.
- Améliorations de l'API REST : Cette version introduit plusieurs points de terminaison d'API REST nouveaux et améliorés pour améliorer l'automatisation et l'intégration :
- GET /applications/{appId}/scans : Retourne une liste de toutes les analyses associées à un ID d'application, avec des options de tri avancées.
- POST /jobs/{jobId}/dastconfig/openapi/specification/process : Télécharge un fichier de description OpenAPI et extrait des paramètres supplémentaires pour rationaliser les configurations d'analyse basées sur des fichiers.
- POST /jobs/{jobId}/dastconfig/openapi/configure : Configure un travail DAST en utilisant une spécification OpenAPI.
- GET /jobs/{jobId}/dastconfig/additionalParams : Récupère la liste des paramètres supplémentaires présents dans le fichier d'analyse d'une configuration d'analyse DAST.
- Amélioration de GET /issues/v2 : Un nouveau paramètre
showFullValuespermet aux réponses de l'API d'afficher des valeurs complètes et non tronquées pour les champs de commentaires, d'emplacement et de description. - GET /issues/{jobId} amélioration : Cette API prend désormais en charge le téléchargement direct des détails des problèmes de sécurité sous forme de rapport PDF et inclut des CWE associées supplémentaires dans la réponse pour un contexte de vulnérabilité plus complet.
- Détails de remédiation dans les rapports de conformité : Les rapports de conformité incluent désormais les informations « Comment corriger », fournissant des conseils de remédiation exploitables directement dans le rapport généré.
- Importation de problèmes de Modèle de Langage de Grande taille (LLM) : AppScan Enterprise prend désormais en charge l'importation de problèmes de sécurité identifiés dans les modèles de langage de grande taille (LLM) à partir d'analyses effectuées dans AppScan Standard 10.10.0 ou versions ultérieures.Note :AppScan Enterprise ne prend pas en charge l'analyse LLM, même si vous configurez l'analyse dans AppScan Standard et la transférez vers AppScan Enterprise. L'analyse s'exécutera sans échouer, mais elle n'analysera pas le LLM.
- Prise en charge du trafic chiffré conforme FIPS : La prise en charge a été ajoutée pour les fichiers de trafic chiffré conformes FIPS générés à partir de l'AppScan Activity Recorder et du Traffic Recorder.
- Rapports de sécurité améliorés (page Monitor) : Si une application présente à la fois des problèmes SAST et DAST, les comptes de problèmes (Problèmes corrigés, Nouveaux problèmes, Problèmes ouverts, Problèmes en retard, Total des problèmes et Travail en cours) dans le rapport de sécurité généré sont désormais basés sur le nombre de problèmes sélectionnés et importés dans les rapports DAST et SAST spécifiques.
- Nouveaux rapports de conformité :
- Rapports de conformité mis à jour :
- Norme Internationale - ISO 27001 Rapport de norme industrielle
- Norme Internationale - ISO 27002 Rapport de norme industrielle
- NIST Publication Spéciale 800-53 Rapport de norme industrielle
- Norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) Rapport de conformité réglementaire
- [US] Services de santé (HIPAA) Rapport de conformité réglementaire
- Règlement général sur la protection des données (RGPD) Rapport de conformité réglementaire
- Prise en charge système et plateforme :
- La prise en charge officielle a été ajoutée pour Microsoft Windows Server 2025
- La prise en charge a été ajoutée pour Microsoft OLE DB Driver 18 pour SQL Server (MSOLEDBSQL18)
Mises à jour de l'agent IAST
Les agents IAST ont été mis à niveau vers les dernières versions :
- Java : 1.21.0
- .NET : 1.15.0
- Node.js : 1.13.0
- PHP : 1.2.0
Liste de corrections APAR
Les Rapports d'analyse de programme autorisé (APAR) suivants ont été corrigés :
| N° APAR. | Description |
|---|---|
| KB0123145 | Correction d'un chemin de fichier de licence incorrect dans l'Assistant de configuration. |
| KB0120549 | Correction d'un problème où les rapports de la page Monitor se généraient lentement pour les applications comportant de nombreux problèmes. |
| KB0122105 | Correction d'un problème dans la Vue Monitor où les détails des problèmes se chevauchaient pour les applications avec de longues valeurs de texte. |
| KB0121711 | Correction d'un problème où l'écran Journal d'activité était vide sur la Page d'administration pour la langue coréenne. |
| KB0111644 | Correction d'un message d'erreur qui apparaissait dans l'assistant de paramètres par défaut lors de l'installation d'AppScan Enterprise lorsque les identifiants LDAP avaient des autorisations insuffisantes. |
| KB0094517 | Correction d'un problème où le rapport PCI dans l'onglet Scan n'affichait pas les détails de conformité lorsque la langue était définie sur japonais. |
Corrections et mises à jour de sécurité
Les nouvelles règles de sécurité de cette version incluent :COOP- En-tête Cross-Origin-Opener-Policy (COOP) manquant ou non sécuriséCORP- En-tête Cross-Origin-Resource-Policy (CORP) manquant ou non sécuriséCOEP- En-tête Cross-Origin-Embedder-Policy (COEP) manquant ou non sécuriséattCSPAPI- Directive « frame-ancestors » manquante ou non sécurisée dans CSP (pour les points de terminaison API)attApacheOFBizRCECVE202445195- Apache OFBiz RCE pour CVE-2024-45195attApacheOFBizRCECVE202445507- Apache OFBiz RCE pour CVE-2024-45507attSpringFrameworkPathTraversalCVE202438816- Spring Framework Traversée de chemin CVE-2024-38816 et CVE-2024-38819attWordpressPiePluginAuthenticationBypassCVE202534077- Wordpress Pie Register Authentification insuffisante CVE-2025-34077attWordPressKubioPathTraversalCVE20252294- Plugin Wordpress Kubio AI Page Builder Traversée de chemin CVE-2025-2294- La base de données des composants vulnérables a été mise à jour vers la version 1.8
La liste complète des corrections, mises à jour et RFE de cette version est répertoriée ici.
Modifications de cette version
- WebSphere® Application Server (WAS) Liberty Core a été mis à niveau vers la version 25.0.0.9.
- Le moteur de navigateur Chromium a été mis à niveau vers la version 142.0.7444.59 pour incorporer les dernières corrections de sécurité.
- La bibliothèque Aspose a été mise à niveau vers la version 25.4.
Supprimé dans cette version
- Les points de terminaison OpenAPI suivants sont obsolètes :
- POST /jobs/{jobId}/dastconfig/openapi/add
- POST /jobs/{jobId}/dastconfig/openapi/url/add
Changements à venir
- Les politiques de test Developer Essentials et Vital Few sont maintenant obsolètes et seront supprimées dans les versions futures. Nous recommandons d'utiliser les politiques de test alternatives suggérées.