Google представи системата за тестване на fuzzing ClusterFuzzLite

Google представи проекта ClusterFuzzLite, който позволява организиране на fuzzing тестване на код за ранно откриване на потенциални уязвимости по време на работа на системи за непрекъсната интеграция. В момента ClusterFuzz може да се използва за автоматизиране на fuzz тестване на заявки за изтегляне в GitHub Actions, Google Cloud Build и Prow, но в бъдеще се очаква поддръжка за други CI системи. Проектът се основава на платформата ClusterFuzz, създадена за координиране на работата на клъстерите за тестване на fuzzing и се разпространява под лиценза Apache 2.0.

Отбелязва се, че след като Google представи услугата OSS-Fuzz през 2016 г., повече от 500 важни проекта с отворен код бяха приети в програмата за непрекъснато тестване на fuzzing. Въз основа на проведените тестове бяха елиминирани повече от 6500 потвърдени уязвимости и бяха коригирани повече от 21 хиляди грешки. ClusterFuzzLite продължава да разработва механизми за тестване на fuzzing с възможност за идентифициране на проблеми по-рано на етапа на преглед на предложените промени. ClusterFuzzLite вече е внедрен в процесите на преглед на промените в проектите systemd и curl и направи възможно идентифицирането на грешки, пропуснати от статичните анализатори и линтери, използвани в началния етап на проверка на нов код.

ClusterFuzzLite поддържа преглед на проекти в C, C++, Java (и други JVM-базирани езици), Go, Python, Rust и Swift. Fuzzing тестването се извършва с помощта на двигателя LibFuzzer. Инструментите AddressSanitizer, MemorySanitizer и UBSan (UndefinedBehaviorSanitizer) също могат да бъдат извикани за идентифициране на грешки и аномалии в паметта.

Основни характеристики на ClusterFuzzLite: бърза проверка на предложените промени за намиране на грешки преди приемането на кода; изтегляне на доклади за условията на срив; способността да се премине към по-напреднало тестване на размиване, за да се идентифицират по-дълбоки грешки, които не са се появили след проверка на промените в кода; генериране на отчети за покритие за оценка на покритието на кода по време на тестване; модулна архитектура, която ви позволява да изберете необходимата функционалност.

Нека припомним, че fuzzing тестването включва генериране на поток от всякакви произволни комбинации от входни данни, които са близки до реалните данни (например html страници с произволни параметри на тагове, архиви или изображения с аномални заглавия и т.н.) и възможно записване грешки в процеса на тяхната обработка. Ако дадена последователност се срине или не отговаря на очаквания отговор, това поведение е много вероятно да показва грешка или уязвимост.

Източник: opennet.ru