Brakeman (Ruby)

Définition

Brakeman est un scanner d'analyse statique de sécurité (SAST) open source spécialement conçu pour les applications Ruby on Rails. Développé par Justin Collins à partir de 2010, Brakeman analyse le code source Rails sans nécessiter son exécution et génère des rapports détaillant les vulnérabilités potentielles selon les standards OWASP. Sa spécialisation pour Rails lui permet de comprendre les patterns de framework et de détecter des vulnérabilités spécifiques à l'écosystème Rails que les scanners généralistes manqueraient. Brakeman couvre un large spectre de vulnérabilités Rails : les injections SQL (via ActiveRecord find_by_sql et requêtes en chaîne non paramétrées), les Cross-Site Scripting (XSS) via les vues Rails mal encodées, les injections de commandes via Open3 ou system(), les Mass Assignment (assignation de masse via params non filtrés dans les modèles), les vulnérabilités de redirection ouverte, les problèmes CSRF, les Session Fixation, les Insecure Direct Object References, et les problèmes spécifiques aux gems Rails connues pour être vulnérables. L'intégration de Brakeman dans un pipeline CI Rails est simple : brakeman -o /tmp/report.json retourne un code de sortie non-zéro en présence de vulnérabilités. Les options permettent de configurer les seuils de sévérité (--minimum-confidence), d'ignorer des avertissements spécifiques documentés (--ignore-config), et de générer des rapports en JSON, HTML, ou SARIF pour intégration dans les dashboards. Des gems d'intégration existent pour les pipelines GitHub Actions et les configurations Rake. Brakeman est particulièrement sensible au contexte Rails : il comprend les before_action, les concerns, les helpers de vues, et les associations ActiveRecord, permettant une analyse de flux de données inter-fichiers qui détecte des vulnérabilités que les scanners non-Rails-aware ne trouvent pas. Le taux de faux positifs de Brakeman est relativement faible pour un SAST grâce à cette connaissance profonde du framework.