Veröffentlichung des GNU cflow 1.7

Nach drei Jahren Entwicklung wurde die Version 1.7 des GNU cflow-Tools veröffentlicht, die dazu dient, anschauliche Funktionsaufrufdiagramme in C-Programmen zu erstellen, um das Verständnis der Anwendungslogik zu erleichtern. Das Diagramm wird ausschließlich durch die Analyse des Quellcodes erstellt, ohne dass das Programm ausgeführt werden muss. Es wird die Generierung sowohl von direkten als auch von umgekehrten Ausführungsflussdiagrammen sowie von Listen mit Querverweisen für die Code-Dateien unterstützt.

Die Veröffentlichung ist bemerkenswert, da sie die Unterstützung des Ausgabeformats „dot“ (‘—format=dot’) implementiert, um das Ergebnis im DOT-Format für eine spätere Visualisierung mit Graphviz zu erstellen. Es wurde die Möglichkeit hinzugefügt, mehrere Startfunktionen durch Wiederholung der Option ‘—main’ anzugeben; für jede dieser Funktionen wird ein separates Diagramm generiert. Außerdem wurde die Option „—target=FUNCTION“ hinzugefügt, die es ermöglicht, das resultierende Diagramm auf den Teilbaum zu beschränken, der bestimmte Funktionen einschließt (die Option „—target“ kann mehrmals angegeben werden). Im cflow-Modus wurden neue Befehle zur Navigation im Diagramm hinzugefügt: „c“ – Wechsel zur aufrufenden Funktion, „n“ – Wechsel zur nächsten Funktion auf der aktuellen Verschachtelungsebene und „p“ – Wechsel zur vorherigen Funktion mit derselben Verschachtelungstiefe.

In der neuen Version wurden außerdem zwei Sicherheitsanfälligkeiten behoben, die bereits 2019 entdeckt wurden und zu einer Speicherbeschädigung beim Verarbeiten von speziell formatierten Quelltexten in cflow führen. Die erste Sicherheitsanfälligkeit (CVE-2019-16165) wird durch den Zugriff auf Speicher nach seiner Freigabe (use-after-free) im Parser-Code (Funktion reference in parser.c) verursacht. Die zweite Sicherheitsanfälligkeit (CVE-2019-16166) hängt mit einem Buffer Overflow in der Funktion nexttoken() zusammen. Laut den Entwicklern stellen diese Probleme keine Sicherheitsgefahr dar, da sie auf ein unerwartetes Beenden des Tools beschränkt sind.

Quelle: opennet.ru