🥇Google публикува Vanir, статичен анализатор за откриване на неизправени уязвимости

Компанията Google представи новия открит проект Vanir, който развива статичен анализатор за автоматично откриване на не приложени към кода пачове, отстраняващи уязвимости. Vanir използва база от сигнатури с информация за известни уязвимости и пачове за отстраняване на тези уязвимости. Подобна база данни се води от Google от юли 2020 г. и обхваща 95% от уязвимостите в проекти, свързани с платформата Android, включително ядрото на Linux. В момента се поддържа проверка на изходния код на езици C, C++ и Java. Кодът на Vanir е написан на езиците C++ и Python и се разпространява под лиценза BSD.

Проектът се състои от две части — генератор на сигнатури и детектор на пропуснати пачове. Генераторът формата сигнатура за идентификация на отсъствието на корекция на базата на описанието на уязвимостта във формат OSV и връзка към пач или комит, който отстранява уязвимостта. В настоящия си вид се поддържа обработка на комити в репозиторите googlesource.com и git.codelinaro.org, но поддръжката на други услуги може лесно да бъде добавена чрез свързване на обработчик за извлечение на кода.

Детекторът извършва анализ на кода в посочения репозиторий и определя отсъствието на корекции, описани в предоставените сигнатури. Реализацията е базирана на алгоритми за автоматично уточняване на сигнатури и анализ на множество шаблони, предложени в изследователските проекти ReDeBug и VUDDY. На съвременен ПК с 16-ядрен CPU сканирането на дървото на изходните текстове на платформата Android по OSV-базата с информация за повече от 2000 уязвимости отнема 10-20 минути. На изхода се генерира отчет със списък на потенциално неизправени уязвимости и връзки към свързани с тях позиции в кода, CVE идентификатори и пачове. Според статистиката, събрана за две години използване на Vanir в Google, нивото на фалшиви сработвания е 2.72%.

Google публикува Vanir, статичен анализатор за откриване на неизправени уязвимости

Предимства на предложените инструменти:

Възможност за откриване на неизправени уязвимости в странични клонове, модификации и заемки на код, които не са пряко свързани с основния проект. В контекста на Android инструментариумът може да се използва за проверка на прилагането на корекции в вариантите на платформата Android, развивани от OEM производителите на устройства.
Извършване на проверка единствено на база анализа на наличния код, без свързване с метаданни като номер на версия, история на комити и SBOM (Software Bill Of Materials).
Поддръжка на автоматично генериране на сигнатури, използвайки информация за уязвимости, появяваща се в публични източници и публикувани съпровождащи пачове.
По-висока производителност при проверката на базата на статичен анализ на изходния код в сравнение с инструментите за динамичен анализ и проверка на бинарни сборки.
Автономност — възможност за развиване на инфраструктура на собствените системи без необходимост от външни услуги.
Наличие на актуална база от сигнатури, поддържана от Google Android Security Team.
Поддръжка на свързване със системи за непрекъсната интеграция и доставка (CI/CD). Възможност за интеграция в други проекти чрез Vanir под формата на библиотеки на Python.
Възможност за адаптиране на системата за задачи, които не са свързани с уязвимости, например за откриване на клониране на код или използване на лицензиран код в други проекти.

Източник: opennet.ru