Google публикува Vanir, статичен анализатор за откриване на неотстранени уязвимости

Компания Google представи новия отворен проект Vanir, който развива статичен анализатор за автоматично откриване на неприлагани към кода пачове, отстраняващи уязвимости. Vanir използва база от сигнатури с информация за известни уязвимости и пачове за отстраняването им. Подобна БД се поддържа от Google от юли 2020 г. и обхваща 95% от уязвимостите в проекти, свързани с платформата Android, включително ядрото на Linux. В момента се поддържа проверка на изходния код на езици C, C++ и Java. Кодът на Vanir е написан на езиците C++ и Python и се разпространява под лицензия BSD.

Проектът се състои от две части — генератор на сигнатури и детектор на пропуснати пачове. Генераторът формира сигнатура за идентификация на отсъствие на поправка на база описание на уязвимостта в формат OSV и линк към пач или комит, отстраняващ уязвимостта. В текущия си вид поддържа обработка на комити в репозиториите googlesource.com и git.codelinaro.org, но поддръжката на други услуги може лесно да бъде добавена чрез включване на обработчик за извличане на кода.

Детекторът извършва анализ на кода в указаното репозитори и определя отсъствието в него на поправки, описани в предоставените сигнатури. Реализацията е основана на алгоритми за автоматично уточняване на сигнатурите и анализ на множество шаблони, предложени в изследователските проекти ReDeBug и VUDDY. На съвременен ПК с 16-ядрен CPU сканирането на дървото на изходните текстове на платформата Android по OSV-базата с информация за повече от 2000 уязвимости отнема 10-20 минути. На изхода се генерира отчет със списък на потенциално неизправените уязвимости и линкове към свързаните с тях позиции в кода, CVE-идентификатори и пачове. Според статистиката, събрана за две години използване на Vanir в Google, нивото на фалшиви сработвания е 2.72%.

Предимствата на предложението инструменти:

• Възможност за откриване на неизправени уязвимости в чужди клонирания, модификации и заимствания на код, които не са пряко свързани с основния проект. В контекста на Android инструментариумът може да се използва за проверка на приложението на поправките в версиите на платформата Android, развивани от OEM производители на устройства.
• Извършване на проверка само на базата на анализа на наличния код, без свързване с метаданни, като номер на версия, история на комитите и SBOM (Софтуерна сметка на материалите).
• Поддръжка на автоматично генериране на сигнатури, използвайки информация за уязвимости, появяваща се в публични източници, и публикувани придружаващи пачове.
• По-висока производителност на проверката на базата на статичен анализ на изходния код в сравнение с инструменти за динамичен анализ и проверка на бинарни сборки.
• Автономност - възможност за разгръщане на инфраструктурата на собствените системи без прибягване до външни услуги.
• Наличие на актуална база от готови сигнатури, придружавана от екипа на Google Android Security Team.
• Поддръжка на свързване с системи за непрекъсната интеграция и доставка (CI/CD). Възможност за интеграция в други проекти, използвайки Vanir под формата на библиотеки на Python.
• Възможност за адаптиране на системата за задачи, несвързани с уязвимости, например за идентифициране на клонирано код или използване на лицензиран код в други проекти.

Източник: opennet.ru