{"id":102283,"date":"2021-11-14T15:36:53","date_gmt":"2021-11-14T13:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-sistemu-fuzzing-testirovaniya-clusterfuzzlite"},"modified":"2021-11-14T15:36:53","modified_gmt":"2021-11-14T13:36:53","slug":"google-predstavil-sistemu-fuzzing-testirovaniya-clusterfuzzlite","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/google-predstavil-sistemu-fuzzing-testirovaniya-clusterfuzzlite","title":{"rendered":"Google hat das Fuzzing-Testsystem ClusterFuzzLite vorgestellt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Google hat das Projekt ClusterFuzzLite vorgestellt, das es erm\u00f6glicht, Fuzzing-Tests f\u00fcr den fr\u00fchen Nachweis potenzieller Sicherheitsanf\u00e4lligkeiten w\u00e4hrend des Betriebs von Continuous Integration-Systemen durchzuf\u00fchren. Derzeit kann ClusterFuzz zur Automatisierung von Fuzzing-Tests f\u00fcr Pull-Requests in GitHub Actions, Google Cloud Build und Prow verwendet werden, wobei in Zukunft auch die Unterst\u00fctzung weiterer CI-Systeme erwartet wird. Das Projekt basiert auf der Plattform ClusterFuzz, die zur Koordination der Arbeit von Fuzzing-Test-Clustern entwickelt wurde, und wird unter der Apache 2.0-Lizenz ver\u00f6ffentlicht. <\/p>\n
Seit der Einf\u00fchrung des OSS-Fuzz-Dienstes durch Google im Jahr 2016 wurden mehr als 500 bedeutende Open-Source-Projekte in das kontinuierliche Fuzzing-Testprogramm aufgenommen. Aufgrund der durchgef\u00fchrten Pr\u00fcfungen konnten \u00fcber 6.500 best\u00e4tigte Sicherheitsanf\u00e4lligkeiten beseitigt und mehr als 21.000 Fehler behoben werden. ClusterFuzzLite entwickelt die Fuzzing-Testmechanismen weiter und erm\u00f6glicht eine fr\u00fchzeitigere Identifizierung von Problemen in der \u00dcberpr\u00fcfungsphase der vorgeschlagenen \u00c4nderungen. ClusterFuzzLite ist bereits in die \u00dcberpr\u00fcfungsprozesse der Projekte systemd und curl integriert und hat es erm\u00f6glicht, Fehler zu identifizieren, die von statischen Analysewerkzeugen und Lintern, die in der Anfangsphase der \u00dcberpr\u00fcfung neuen Codes verwendet wurden, \u00fcbersehen wurden. <\/p>\n
ClusterFuzzLite unterst\u00fctzt die \u00dcberpr\u00fcfung von Projekten in den Programmiersprachen C, C++, Java (und anderen JVM-basierten Sprachen), Go, Python, Rust und Swift. Das Fuzzing-Testing erfolgt unter Verwendung der LibFuzzer-Engine. Zus\u00e4tzlich k\u00f6nnen zur Identifizierung von Speicherfehlern und Anomalien auch die Werkzeuge AddressSanitizer, MemorySanitizer und UBSan (UndefinedBehaviorSanitizer) verwendet werden. <\/p>\n
Die Hauptmerkmale von ClusterFuzzLite: schnelle \u00dcberpr\u00fcfung der vorgeschlagenen \u00c4nderungen zur Fehlererkennung vor der Annahme des Codes; Hochladen von Berichten \u00fcber die Bedingungen, unter denen Abst\u00fcrze entstehen; die M\u00f6glichkeit, auf umfangreichere Fuzz-Tests umzuschalten, um tiefere Fehler zu identifizieren, die nach der \u00dcberpr\u00fcfung der Code\u00e4nderungen nicht aufgetaucht sind; Erstellung von Coverage-Berichten zur Bewertung der Codeabdeckung w\u00e4hrend der Tests; modulare Architektur, die es erm\u00f6glicht, die erforderliche Funktionalit\u00e4t auszuw\u00e4hlen. <\/p>\n
Bei Fuzzing-Tests wird erinnert, dass ein Strom von zuf\u00e4lligen Kombinationen von Eingabedaten generiert wird, die den realen Daten \u00e4hnlich sind (z. B. HTML-Seiten mit zuf\u00e4lligen Tag-Parametern, Archive oder Bilder mit abnormalen Kopfzeilen usw.), und m\u00f6gliche Abst\u00fcrze w\u00e4hrend ihrer Verarbeitung festgehalten werden. Wenn eine bestimmte Sequenz zu einem Absturz f\u00fchrt oder nicht der erwarteten Reaktion entspricht, deutet ein solches Verhalten mit hoher Wahrscheinlichkeit auf einen Fehler oder eine Schwachstelle hin. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"