bundle-audit Ruby

Définition

bundle-audit est l'outil SCA (Software Composition Analysis) de référence pour les projets Ruby, permettant de détecter les vulnérabilités de sécurité connues dans les gems (bibliothèques Ruby) utilisées par une application. Développé par l'organisation rubysec, bundle-audit consulte la Ruby Advisory Database (maintenue sur GitHub par la communauté Ruby) et compare les versions des gems listées dans le Gemfile.lock du projet avec les versions affectées par des vulnérabilités publiées. bundle-audit est particulièrement précieux pour les applications Ruby on Rails, qui dépendent de nombreuses gems communautaires dont certaines ont historiquement présenté des vulnérabilités critiques (Gemfile typique d'une application Rails contenant 100-200+ gems incluant des gem de sécurité comme Devise, Pundit, Rack). Des vulnérabilités critiques dans des gems largement utilisées (RCE dans Rack, XSS dans ActionView, injection SQL dans ActiveRecord) peuvent affecter des milliers d'applications Rails si les gems ne sont pas mises à jour. L'utilisation de bundle-audit est simple : gem install bundler-audit && bundle audit check (analyse le Gemfile.lock et retourne les vulnérabilités détectées avec CVE/OSVDB et la version corrigée recommandée), bundle audit update (met à jour la base de données des advisories depuis la Ruby Advisory Database sur GitHub). La commande bundle audit check --update exécute les deux en une seule commande, adaptée à l'usage en CI. L'intégration dans un pipeline CI Ruby est standard : une étape bundle audit check --update bloque le build si des vulnérabilités connues sont identifiées dans les gems. Des outils comme Brakeman (SAST Ruby) et bundle-audit sont souvent utilisés conjointement dans les pipelines CI Ruby on Rails, Brakeman pour les vulnérabilités dans le code applicatif, bundle-audit pour les vulnérabilités dans les dépendances.