{"id":120879,"date":"2024-12-06T21:45:59","date_gmt":"2024-12-06T19:46:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej"},"modified":"2024-12-06T21:45:59","modified_gmt":"2024-12-06T19:46:00","slug":"google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","title":{"rendered":"Google har offentliggjort Vanir, en statisk analyser til identificering af uoprettede s\u00e5rbarheder","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Google har pr\u00e6senteret et nyt \u00e5bent projekt, Vanir, der udvikler en statisk analyser for automatisk at identificere ubrugte patches, der fjerner s\u00e5rbarheder. Vanir bruger en signaturdatabase med information om kendte s\u00e5rbarheder og patches til at afhj\u00e6lpe disse s\u00e5rbarheder. En s\u00e5dan database er blevet opretholdt af Google siden juli 2020 og d\u00e6kker 95% af s\u00e5rbarhederne i projekter relateret til Android-platformen, inklusive Linux-kernen. I \u00f8jeblikket underst\u00f8ttes kodeskanning for sprog som C, C++ og Java. Vanirs kode er skrevet i C++ og Python, og det distribueres under BSD-licensen. <\/p>\n
Projektet best\u00e5r af to dele \u2013 en signaturgenerator og en detector for manglende patches. Generatoren opretter en signatur til identifikation af manglende opdateringer baseret p\u00e5 beskrivelsen af s\u00e5rbarheden i OSV-formatet og et link til den patch eller commit, der fjerner s\u00e5rbarheden. I sin nuv\u00e6rende form underst\u00f8tter den behandling af commits i repositories p\u00e5 googlesource.com og git.codelinaro.org, men st\u00f8tte til andre tjenester kan nemt tilf\u00f8jes ved at tilslutte en behandler til at udtr\u00e6kke koden. <\/p>\n
Detektoren analyserer koden i det angivne repository og bestemmer, om der mangler rettelser, der er beskrevet i de leverede signaturer. Implementeringen er baseret p\u00e5 algoritmer til automatisk forfining af signaturer og analyse af flere m\u00f8nstre, som foresl\u00e5et i forskningsprojekterne ReDeBug og VUDDY. P\u00e5 en moderne PC med 16-kernet CPU tager scanning af kildekodetr\u00e6et for Android-platformen mod OSV-database med information om over 2000 s\u00e5rbarheder 10-20 minutter. Som resultat genereres en rapport med en liste over potentielt urettet s\u00e5rbarheder og links til de relaterede kodelinjer, CVE-identifikatorer og patches. If\u00f8lge statistikken indsamlet over to \u00e5rs brug af Vanir i Google er niveauet for falske positiver 2,72%.
<\/center>
<\/center> <\/p>\n
Fordele ved det foresl\u00e5ede v\u00e6rkt\u00f8j: <\/p>\n
\n
Muligheden for at identificere urettede s\u00e5rbarheder i tredjepartsgafler, modifikationer og kodeoverf\u00f8rsler, der ikke er direkte relateret til hovedprojektet. I konteksten af Android kan v\u00e6rkt\u00f8jet bruges til at kontrollere anvendelsen af rettelser i varianter af Android-platformen, der er udviklet af OEM-enhedsproducenter.\n
Kontrol udf\u00f8res kun baseret p\u00e5 analysen af den eksisterende kode, uden at knytte den til metadata som versionsnummer, commit-historik og SBOM (Software Bill Of Materials).\n
Underst\u00f8ttelse af automatisk generering af signaturer ved hj\u00e6lp af oplysninger om s\u00e5rbarheder, der fremg\u00e5r af offentlige kilder, og opdaterede patches offentliggjort af de relevante udviklere.\n
H\u00f8jere pr\u00e6station ved kontrol baseret p\u00e5 statisk analyse af kildekoden sammenlignet med v\u00e6rkt\u00f8jer til dynamisk analyse og kontrol af bin\u00e6re builds.\n
Selvforsyning \u2013 muligheden for at implementere infrastrukturen p\u00e5 egne systemer uden at skulle henvende sig til eksterne tjenester.\n
Tilg\u00e6ngeligheden af en klar og opdateret signaturdatabase, underst\u00f8ttet af Google Android Security Team.\n
Underst\u00f8ttelse af tilslutning til kontinuerlige integrations- og leveringssystemer (CI\/CD). Mulighed for integration i andre projekter ved hj\u00e6lp af Vanir som biblioteker p\u00e5 Python.\n
Mulighed for at tilpasse systemet til opgaver, der ikke er relateret til s\u00e5rbarheder, for eksempel til at identificere kodekloning eller brugen af licenseret kode i andre projekter. <\/ul>\n
![\"Google](\"\/wp-content\/uploads\/2024\/12\/2c0e972dd6294e148aabac3657a7f9e9.png\")
<\/center> ![\"Google](\"\/wp-content\/uploads\/2024\/12\/0dda2019ec266d89ae2bfaec43f72c33.png\")
<\/center> <\/p>\n