{"id":102283,"date":"2021-11-14T15:36:53","date_gmt":"2021-11-14T13:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-sistemu-fuzzing-testirovaniya-clusterfuzzlite"},"modified":"2021-11-14T15:36:53","modified_gmt":"2021-11-14T13:36:53","slug":"google-predstavil-sistemu-fuzzing-testirovaniya-clusterfuzzlite","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/google-predstavil-sistemu-fuzzing-testirovaniya-clusterfuzzlite","title":{"rendered":"Google hat das Fuzzing-Testsystem ClusterFuzzLite vorgestellt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Google LLC hat das Projekt ClusterFuzzLite vorgestellt, das die Durchf\u00fchrung von Fuzzing-Tests des Codes erm\u00f6glicht, um potenzielle Schwachstellen fr\u00fchzeitig in der Phase der kontinuierlichen Integration zu identifizieren. Derzeit kann ClusterFuzz zur Automatisierung von Fuzzing-Tests von Pull-Requests in GitHub Actions, Google Cloud Build und Prow verwendet werden, in Zukunft wird jedoch auch die Unterst\u00fctzung anderer CI-Systeme erwartet. Das Projekt basiert auf der ClusterFuzz-Plattform, die zur Koordination der Arbeit von Fuzzing-Test-Clustern entwickelt wurde und unter der Lizenz Apache 2.0 ver\u00f6ffentlicht wird. <\/p>\n
Es wird festgestellt, dass seit der Einf\u00fchrung des OSS-Fuzz-Dienstes durch Google im Jahr 2016 \u00fcber 500 wichtige Open-Source-Projekte in das Programm f\u00fcr kontinuierliche Fuzzing-Tests integriert wurden. Nach den durchgef\u00fchrten Pr\u00fcfungen wurden \u00fcber 6500 best\u00e4tigte Schwachstellen behoben und mehr als 21.000 Fehler korrigiert. ClusterFuzzLite entwickelt weiterhin die Mechanismen des Fuzzing-Tests mit der M\u00f6glichkeit, Probleme fr\u00fcher in der Phase der \u00dcberpr\u00fcfung vorgeschlagener \u00c4nderungen zu identifizieren. ClusterFuzzLite ist bereits in die \u00c4nderungsreview-Prozesse der Projekte systemd und curl integriert und hat es erm\u00f6glicht, Fehler zu erkennen, die von statischen Analysetools und Lintern, die in der fr\u00fchen Phase der Code\u00fcberpr\u00fcfung verwendet wurden, \u00fcbersehen wurden. <\/p>\n
ClusterFuzzLite unterst\u00fctzt die \u00dcberpr\u00fcfung von Projekten in den Programmiersprachen C, C++, Java (und anderen Sprachen auf der JVM), Go, Python, Rust und Swift. Die Fuzzing-Tests werden unter Verwendung der LibFuzzer-Engine durchgef\u00fchrt. Zur Erkennung von Fehlern im Umgang mit dem Speicher und Anomalien k\u00f6nnen auch die Werkzeuge AddressSanitizer, MemorySanitizer und UBSan (UndefinedBehaviorSanitizer) aufgerufen werden. <\/p>\n
Die Hauptfunktionen von ClusterFuzzLite: schnelle \u00dcberpr\u00fcfung der vorgeschlagenen \u00c4nderungen zur Fehlersuche vor der Annahme des Codes; das Hochladen von Berichten \u00fcber Crash-Bedingungen; die M\u00f6glichkeit, zu umfangreicheren Fuzzing-Tests \u00fcberzugehen, um tiefere Fehler zu identifizieren, die nach der \u00dcberpr\u00fcfung des Codes nicht aufgetreten sind; die Generierung von Coverage-Berichten zur Bewertung der Codeabdeckung w\u00e4hrend der Tests; modulare Architektur, die es erm\u00f6glicht, die erforderliche Funktionalit\u00e4t auszuw\u00e4hlen. <\/p>\n
Wir erinnern daran, dass beim Fuzzing-Testing eine Vielzahl von zuf\u00e4lligen Kombinationen von Eingabedaten generiert wird, die realen Daten \u00e4hnlich sind (zum Beispiel HTML-Seiten mit zuf\u00e4lligen Tag-Parametern, Archive oder Bilder mit anomalen Headern usw.), und dass m\u00f6gliche Fehler w\u00e4hrend ihrer Verarbeitung erfasst werden. Wenn eine bestimmte Sequenz zu einem Absturz f\u00fchrt oder nicht der erwarteten Reaktion entspricht, weist dieses Verhalten mit hoher Wahrscheinlichkeit auf einen Fehler oder eine Schwachstelle hin. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"