Der OSTIF (Open Source Technology Improvement Fund), der zur Stärkung der Sicherheit von Open-Source-Projekten gegründet wurde, hat den Abschluss eines unabhängigen Audits des LLVM-Projekts bekannt gegeben. Die Arbeit wurde von der britischen Firma Ada Logics durchgeführt. Im Rahmen dieser Maßnahmen wurde der mehr als ein Jahr lang unterbrochene Testprozess im OSS-Fuzz wieder aufgenommen. Die Abdeckung der Codebasis, die in das Fuzzing-Testing einbezogen wird, wurde von 1,1 auf 2,4 Millionen Codezeilen erhöht. Außerdem wurde das für das Fuzzing-Testing verwendete Werkzeug erweitert, und die Anzahl der eingesetzten Fuzzing-Engines wurde von 12 auf 15 erhöht.
Insgesamt wurden im LLVM-Code 12 neue Probleme identifiziert, von denen 8 auf Fehler zurückzuführen sind, die zu Speicherbeschädigungen führten. 6 der identifizierten Schwachstellen führten zu Pufferüberläufen, 2 zu Zugriffen auf bereits freigegebenen Speicher, 3 zu Dereferenzierungen von Nullzeigern und 1 zu einem Lesevorgang außerhalb des zugewiesenen Puffers.
Quelle: opennet.ru
