Der OSTIF (Open Source Technology Improvement Fund), der zur Verbesserung der Sicherheit offener Projekte gegründet wurde, hat den Abschluss eines unabhängigen Audits des LLVM-Projekts bekannt gegeben. Die Arbeit wurde von der britischen Firma Ada Logics durchgeführt. Im Rahmen der durchgeführten Arbeiten wurde der vor über einem Jahr unterbrochene Testprozess in OSS-Fuzz wieder aufgenommen. Die Abdeckung der Codebasis, die am Fuzzing-Test beteiligt ist, wurde von 1,1 auf 2,4 Millionen Zeilen Code erhöht. Außerdem wurde das für das Fuzzing-Testing verwendete Toolset erweitert, und die Anzahl der eingesetzten Fuzzing-Engines wurde von 12 auf 15 erhöht.
In der Codebasis von LLVM konnten insgesamt 12 neue Probleme identifiziert werden, von denen 8 durch Fehler verursacht wurden, die zu Speicherbeschädigungen führten. 6 der entdeckten Schwachstellen führten zu Pufferüberläufen, 2 zu Zugriffsversuchen auf bereits freigegebenen Speicher, 3 zu Null-Dereferenzierungen und 1 zu einem Lesevorgang außerhalb des zugewiesenen Puffers.
Quelle: opennet.ru
