{"id":120879,"date":"2024-12-06T21:45:59","date_gmt":"2024-12-06T19:46:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej"},"modified":"2024-12-06T21:45:59","modified_gmt":"2024-12-06T19:46:00","slug":"google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/news\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","title":{"rendered":"Google publikoval Vanir, statick\u00fd analyz\u00e1tor pro identifikaci neopravovan\u00fdch zranitelnost\u00ed","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Spole\u010dnost Google p\u0159edstavila nov\u00fd otev\u0159en\u00fd projekt Vanir, kter\u00fd vyv\u00edj\u00ed statick\u00fd analyz\u00e1tor pro automatick\u00e9 odhalov\u00e1n\u00ed nepou\u017eit\u00fdch oprav k\u00f3du, kter\u00e9 odstra\u0148uj\u00ed zranitelnosti. Vanir pou\u017e\u00edv\u00e1 datab\u00e1zi podpis\u016f s informacemi o zn\u00e1m\u00fdch zranitelnostech a oprav\u00e1ch k odstran\u011bn\u00ed t\u011bchto zranitelnost\u00ed. Podobn\u00e1 datab\u00e1ze je udr\u017eov\u00e1na Googlem od \u010dervence 2020 a pokr\u00fdv\u00e1 95 % zranitelnost\u00ed v projektech souvisej\u00edc\u00edch s platformou Android, v\u010detn\u011b j\u00e1dra Linux. V sou\u010dasnosti je podporov\u00e1no ov\u011b\u0159ov\u00e1n\u00ed zdrojov\u00e9ho k\u00f3du v jazyc\u00edch C, C++ a Java. K\u00f3d Vanir je naps\u00e1n v jazyc\u00edch C++ a Python a je \u0161\u00ed\u0159en pod licenc\u00ed BSD. <\/p>\n
Projekt se skl\u00e1d\u00e1 ze dvou \u010d\u00e1st\u00ed \u2013 gener\u00e1toru signatur a detektoru chyb\u011bj\u00edc\u00edch z\u00e1plat. Gener\u00e1tor vytv\u00e1\u0159\u00ed signaturu pro identifikaci absence opravy na z\u00e1klad\u011b popisu zranitelnosti ve form\u00e1tu OSV a odkazu na z\u00e1platu nebo commit, kter\u00fd zranitelnost odstra\u0148uje. V sou\u010dasn\u00e9 podob\u011b je podporov\u00e1na zpracov\u00e1n\u00ed commit\u016f v repositor\u00edch googlesource.com a git.codelinaro.org, ale podpora dal\u0161\u00edch slu\u017eeb m\u016f\u017ee b\u00fdt snadno p\u0159id\u00e1na prost\u0159ednictv\u00edm p\u0159ipojen\u00ed zpracovatele pro extrakci k\u00f3du. <\/p>\n
Detektor prov\u00e1d\u00ed anal\u00fdzu k\u00f3du v uveden\u00e9m repozit\u00e1\u0159i a ur\u010duje absenci v n\u011bm oprav, jak je pops\u00e1no v poskytnut\u00fdch podpisech. Implementace je zalo\u017eena na algoritmech automatick\u00e9 jemn\u00e9 \u00fapravy podpis\u016f a anal\u00fdzy v\u00edce\u0161ablon, kter\u00e9 byly navr\u017eeny v v\u00fdzkumn\u00fdch projektech ReDeBug a VUDDY. Na modern\u00edm PC se 16-j\u00e1drov\u00fdm CPU skenov\u00e1n\u00ed stromu zdrojov\u00fdch text\u016f platformy Android podle datab\u00e1ze OSV s informacemi o v\u00edce ne\u017e 2000 zranitelnostech trv\u00e1 10-20 minut. Na konci je vytvo\u0159ena zpr\u00e1va se seznamem potenci\u00e1ln\u011b neopravovan\u00fdch zranitelnost\u00ed a odkazy na souvisej\u00edc\u00ed pozice v k\u00f3du, CVE identifik\u00e1tory a opravy. Podle statistik shrom\u00e1\u017ed\u011bn\u00fdch b\u011bhem dvou let pou\u017e\u00edv\u00e1n\u00ed Vanir v Googlu je m\u00edra fale\u0161n\u00fdch poplach\u016f 2,72 %.
Mo\u017enost odhalen\u00ed neopravovan\u00fdch zranitelnost\u00ed ve t\u0159et\u00edch v\u011btv\u00edch, modifikac\u00edch a v\u00fdp\u016fj\u010dk\u00e1ch k\u00f3du, kter\u00e9 nejsou p\u0159\u00edmo spojeny s hlavn\u00edm projektem. V kontextu Android m\u016f\u017ee b\u00fdt n\u00e1stroj pou\u017eit k ov\u011b\u0159ov\u00e1n\u00ed aplikace oprav v variant\u00e1ch platformy Android vyv\u00edjen\u00fdch v\u00fdrobci OEM za\u0159\u00edzen\u00ed.\n
Prov\u00e1d\u011bn\u00ed kontroly pouze na z\u00e1klad\u011b anal\u00fdzy st\u00e1vaj\u00edc\u00edho k\u00f3du, bez vazby na metadata, jako je \u010d\u00edslo verze, historie commit\u016f a SBOM (Seznam komponent softwaru).\n
Podpora automatick\u00e9ho generov\u00e1n\u00ed podpis\u016f pomoc\u00ed informac\u00ed o zranitelnostech, kter\u00e9 se objevuj\u00ed ve ve\u0159ejn\u00fdch zdroj\u00edch, a publikovan\u00fdch oprav.\n
Vy\u0161\u0161\u00ed v\u00fdkon kontroly na z\u00e1klad\u011b statick\u00e9 anal\u00fdzy zdrojov\u00e9ho k\u00f3du ve srovn\u00e1n\u00ed s n\u00e1stroji pro dynamickou anal\u00fdzu a kontrolu bin\u00e1rn\u00edch sestaven\u00ed.\n
Samostatnost \u2013 mo\u017enost nasadit infrastrukturu na vlastn\u00edch syst\u00e9mech bez nutnosti spol\u00e9hat se na extern\u00ed slu\u017eby.\n
Existence aktu\u00e1ln\u00ed datab\u00e1ze podpis\u016f, kterou spravuje t\u00fdm Google Android Security Team.\n
Podpora p\u0159ipojen\u00ed k syst\u00e9m\u016fm pro kontinu\u00e1ln\u00ed integraci a doru\u010dov\u00e1n\u00ed (CI\/CD). Mo\u017enost integrace do dal\u0161\u00edch projekt\u016f s pou\u017eit\u00edm Vanir ve form\u011b knihoven v jazyce Python.\n
Mo\u017enost p\u0159izp\u016fsobit syst\u00e9m pro \u00fakoly nesouvisej\u00edc\u00ed se zranitelnostmi, nap\u0159\u00edklad pro odhalov\u00e1n\u00ed klonov\u00e1n\u00ed k\u00f3du nebo pou\u017eit\u00ed licencovan\u00e9ho k\u00f3du v jin\u00fdch projektech. <\/ul>\n
![\"Google](\"\/wp-content\/uploads\/2024\/12\/2c0e972dd6294e148aabac3657a7f9e9.png\")
<\/center> ![\"Google](\"\/wp-content\/uploads\/2024\/12\/0dda2019ec266d89ae2bfaec43f72c33.png\")
<\/center> <\/p>\n