{"id":120879,"date":"2024-12-06T21:45:59","date_gmt":"2024-12-06T19:46:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej"},"modified":"2024-12-06T21:45:59","modified_gmt":"2024-12-06T19:46:00","slug":"google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","title":{"rendered":"Google hat Vanir ver\u00f6ffentlicht, ein statisches Analysewerkzeug zur Identifizierung von unbehobenen Sicherheitsanf\u00e4lligkeiten.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Google hat ein neues Open-Source-Projekt namens Vanir vorgestellt, das einen statischen Code-Analyzer entwickelt, um automatisch nicht angewendete Patches zur Behebung von Sicherheitsanf\u00e4lligkeiten zu identifizieren. Vanir nutzt eine Signaturdatenbank mit Informationen \u00fcber bekannte Sicherheitsanf\u00e4lligkeiten und Patches zur Behebung dieser Schwachstellen. Eine solche Datenbank wird von Google seit Juli 2020 gef\u00fchrt und deckt 95 % der Sicherheitsanf\u00e4lligkeiten in Projekten im Zusammenhang mit der Android-Plattform ab, einschlie\u00dflich des Linux-Kernels. Momentan unterst\u00fctzt es die \u00dcberpr\u00fcfung von Quellcode in den Sprachen C, C++ und Java. Der Code von Vanir ist in C++ und Python geschrieben und wird unter der BSD-Lizenz ver\u00f6ffentlicht. <\/p>\n
Das Projekt besteht aus zwei Teilen \u2013 einem Signaturgenerator und einem Detektor f\u00fcr fehlende Patches. Der Generator erstellt eine Signatur zur Identifizierung des Fehlens eines Fixes basierend auf der Beschreibung der Schwachstelle im OSV-Format und einem Link zu dem Patch oder Commit, der die Schwachstelle behebt. Aktuell wird die Verarbeitung von Commits in den Repositories googlesource.com und git.codelinaro.org unterst\u00fctzt, aber die Unterst\u00fctzung anderer Dienste kann einfach durch die Anbindung eines Handlers zur Codeextraktion hinzugef\u00fcgt werden. <\/p>\n
Der Detektor analysiert den Code im angegebenen Repository und erkennt das Fehlen von Korrekturen, die in den bereitgestellten Signaturen beschrieben sind. Die Implementierung basiert auf Algorithmen zur automatischen Verfeinerung von Signaturen und der Analyse von mehreren Mustern, die in den Forschungsprojekten ReDeBug und VUDDY vorgeschlagen wurden. Auf einem modernen PC mit einem 16-Kern-CPU ben\u00f6tigt das Scannen des Quellcodebaums der Android-Plattform anhand der OSV-Datenbank mit Informationen zu mehr als 2000 Sicherheitsanf\u00e4lligkeiten 10-20 Minuten. Am Ende wird ein Bericht mit einer Liste potenziell nicht behobener Sicherheitsanf\u00e4lligkeiten sowie Verlinkungen zu den entsprechenden Codestellen, CVE-Identifikatoren und Patches erstellt. Statistiken, die \u00fcber zwei Jahre Nutzung von Vanir bei Google gesammelt wurden, zeigen eine Rate von 2,72 % an Fehlalarmen.
<\/center>
<\/center> <\/p>\n
Vorteile des vorgeschlagenen Tools: <\/p>\n
\n
M\u00f6glichkeit, unbehobene Sicherheitsanf\u00e4lligkeiten in externen Abzweigungen, Modifikationen und Code\u00fcbertragungen zu identifizieren, die nicht direkt mit dem Hauptprojekt verbunden sind. Im Kontext von Android kann das Tool verwendet werden, um die Anwendung von Korrekturen in Android-Plattformvarianten zu \u00fcberpr\u00fcfen, die von OEM-Herstellern entwickelt werden.\n
Durchf\u00fchrung der \u00dcberpr\u00fcfung ausschlie\u00dflich auf Basis der Analyse des vorhandenen Codes, ohne auf Metadaten wie Versionsnummer, Commit-Historie und SBOM (Software Bill Of Materials) angewiesen zu sein.\n
Unterst\u00fctzung der automatischen Generierung von Signaturen, indem aufkommende Informationen \u00fcber Sicherheitsanf\u00e4lligkeiten aus \u00f6ffentlichen Quellen und die ver\u00f6ffentlichten entsprechenden Patches genutzt werden.\n
H\u00f6here Effizienz der \u00dcberpr\u00fcfung auf Basis von statischer Quellcodeanalyse im Vergleich zu Tools f\u00fcr dynamische Analyse und Pr\u00fcfungen von Bin\u00e4rversionen.\n
Selbstgen\u00fcgsamkeit \u2013 die M\u00f6glichkeit, die Infrastruktur auf eigenen Systemen ohne R\u00fcckgriff auf externe Dienste bereitzustellen.\n
Vorhandensein einer aktuellen und funktionalen Signaturdatenbank, die von dem Google Android Security Team betreut wird.\n
Unterst\u00fctzung der Integration in Systeme f\u00fcr kontinuierliche Integration und Bereitstellung (CI\/CD). M\u00f6glichkeit der Integration in andere Projekte unter Nutzung von Vanir in Form von Bibliotheken in Python.\n
M\u00f6glichkeit, das System f\u00fcr Aufgaben zu adaptieren, die nicht mit Sicherheitsanf\u00e4lligkeiten zu tun haben, z. B. zur Identifizierung von Codeklonierungen oder zur Nutzung von lizenziertem Code in anderen Projekten. <\/ul>\n
![\"Google](\"\/wp-content\/uploads\/2024\/12\/2c0e972dd6294e148aabac3657a7f9e9.png\")
<\/center> ![\"Google](\"\/wp-content\/uploads\/2024\/12\/0dda2019ec266d89ae2bfaec43f72c33.png\")
<\/center> <\/p>\n