I infrastrukturen for kontinuerlig fuzz-testing er der tilføjet mulighed for at teste projekter skrevet i Lua, ud over de tidligere understøttede sprog C/C++, Go, Swift, Rust, Python, JavaScript og Java. Integrationen er realiseret gennem projektet luzer, som udvikler specialiserede værktøjer til fuzz-testing af kode skrevet i Lua og Lua-udvidelser skabt med C/C++.
Projektet bruger bibliotektet libFuzzer og kan anvendes sammen med værktøjer som AddressSanitizer, MemorySanitizer, LeakSanitizer, ThreadSanitizer og Undefined Behavior Sanitizer, som gør det muligt at identificere typiske sårbarheder forårsaget af buffer overflow, integer overflow, adgang til uinitialiserede og frigivne områder, hukommelseslækager, dereferencering af pekere og låserelaterede problemer. Projektets kode er tilgængelig under ISC-licensen.
Under arbejdet gennemgår luzer mulige kombinationer af inputdata og genererer en rapport om alle identificerede fejl og ikke-håndterede undtagelser. For eksempel, ved testning af MsgPack-formatparsebiblioteket antirez/lua-cmsgpack, blev det opdaget, at data med mange arrays kan føre til stack overflow.
I projektet lunapark anvendes luzer-værktøjet til testning af PUC Rios Lua, tracer-programmet LuaJIT, en højtydende database og server Tarantool-applikationer samt til testning af tredjeparts Lua-moduler.
Udviklere af åbne projekter kan tilføje deres repository til testning ved at forberede en fuzz-test-skabelon og indsende en speciel anmodning via pull-request. Ved opdagelse af fejl sendes der automatisk en meddelelse til udviklerne, og der oprettes en privat anmodning om rettelse (for at undgå tidlig lækage af oplysninger om sårbarheder oprettes ticketen i et system til fejlhåndtering med begrænset adgang). OSS-Fuzz holder styr på fejlrettelsesstatus og lukker automatisk ticketen, hvis den ikke længere kan reproduceres. Oplysninger om problemet bliver offentligt tilgængelige 7 dage efter rettelsen eller 90 dage efter opdagelsen, hvis problemet forbliver urettet.
Kilde: opennet.ru
