{"id":120879,"date":"2024-12-06T21:45:59","date_gmt":"2024-12-06T19:46:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej"},"modified":"2024-12-06T21:45:59","modified_gmt":"2024-12-06T19:46:00","slug":"google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","title":{"rendered":"Google hat Vanir ver\u00f6ffentlicht, einen statischen Analyse-Tool zur Erkennung von unbehobenen Sicherheitsanf\u00e4lligkeiten.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Google GmbH hat das neue Open-Source-Projekt Vanir vorgestellt, das einen statischen Analysator zur automatischen Identifizierung nicht angewandter Code-Patches zur Beseitigung von Sicherheitsl\u00fccken entwickelt. Vanir nutzt eine Signaturdatenbank mit Informationen \u00fcber bekannte Sicherheitsanf\u00e4lligkeiten und Patche zur Behebung dieser Sicherheitsanf\u00e4lligkeiten. Eine solche Datenbank wird von Google seit Juli 2020 gef\u00fchrt und umfasst 95 % der Sicherheitsanf\u00e4lligkeiten in mit der Android-Plattform verbundenen Projekten, einschlie\u00dflich des Linux-Kernels. Derzeit werden Quellcode\u00fcberpr\u00fcfungen in den Sprachen C, C++ und Java unterst\u00fctzt. Der Code von Vanir ist in C++ und Python geschrieben und wird unter der BSD-Lizenz verbreitet. <\/p>\n
Das Projekt besteht aus zwei Teilen \u2013 einem Signaturgenerator und einem Detektor f\u00fcr vers\u00e4umte Patches. Der Generator erstellt eine Signatur zur Identifizierung des Fehlens von Korrekturen basierend auf der Beschreibung der Sicherheitsanf\u00e4lligkeit im OSV-Format und einem Verweis auf den Patch oder Commit, der die Sicherheitsanf\u00e4lligkeit behebt. Derzeit wird die Verarbeitung von Commits in den Repositories googlesource.com und git.codelinaro.org unterst\u00fctzt, aber die Unterst\u00fctzung anderer Dienste kann leicht durch die Anpassung eines Handlers zum Extrahieren des Codes hinzugef\u00fcgt werden. <\/p>\n
Der Detektor analysiert den Code im angegebenen Repository und stellt fest, ob dort Korrekturen fehlen, die in den bereitgestellten Signaturen beschrieben sind. Die Implementierung basiert auf Algorithmen zur automatischen Verfeinerung von Signaturen und der Analyse mehrerer Muster, die in den Forschungsprojekten ReDeBug und VUDDY vorgeschlagen wurden. Auf einem modernen PC mit 16-Kern-CPU dauert das Scannen des Quellcodebaums der Android-Plattform nach der OSV-Datenbank mit Informationen zu mehr als 2000 Sicherheitsanf\u00e4lligkeiten 10-20 Minuten. Das Ergebnis wird in einem Bericht zusammengefasst, der eine Liste potenziell ungel\u00f6ster Sicherheitsanf\u00e4lligkeiten und Links zu den entsprechenden Stellen im Code, CVE-Identifikatoren und Patche enth\u00e4lt. Nach Statistiken, die \u00fcber zwei Jahre Nutzung von Vanir bei Google gesammelt wurden, betr\u00e4gt die Rate der Fehlalarme 2,72%.
<\/center>
<\/center> <\/p>\n
Die Vorteile des vorgeschlagenen Tools: <\/p>\n
\n
Die M\u00f6glichkeit, nicht behobene Sicherheitsanf\u00e4lligkeiten in externen Abzweigungen, Modifikationen und Code-Leihgaben zu erkennen, die nicht direkt mit dem Hauptprojekt verbunden sind. Im Kontext von Android kann das Tool zur \u00dcberpr\u00fcfung der Anwendung von Fixes in den von OEM-Herstellern entwickelten Versionen der Android-Plattform verwendet werden.\n
Die Durchf\u00fchrung der \u00dcberpr\u00fcfung allein auf der Grundlage der Analyse des vorhandenen Codes, ohne Bezug auf Metadaten wie Versionsnummer, Commithistorie und SBOM (Software Bill Of Materials).\n
Unterst\u00fctzung der automatischen Generierung von Signaturen unter Verwendung von Informationen \u00fcber Schwachstellen, die in \u00f6ffentlichen Quellen erscheinen, sowie von ver\u00f6ffentlichten Begleitpatches.\n
H\u00f6here Leistungsf\u00e4higkeit der \u00dcberpr\u00fcfung basierend auf statischer Analyse des Quellcodes im Vergleich zu Tools f\u00fcr dynamische Analysen und zur \u00dcberpr\u00fcfung von Bin\u00e4rversionen.\n
Selbstgen\u00fcgsamkeit \u2013 die F\u00e4higkeit, eine Infrastruktur auf eigenen Systemen ohne R\u00fcckgriff auf externe Dienste bereitzustellen.\n
Verf\u00fcgbarkeit einer aktuellen Signaturdatenbank, unterst\u00fctzt durch das Google Android Security Team.\n
Unterst\u00fctzung der Anbindung an Systeme f\u00fcr kontinuierliche Integration und Lieferung (CI\/CD). M\u00f6glichkeit der Integration in andere Projekte mithilfe von Vanir in Form von Python-Bibliotheken.\n
Die M\u00f6glichkeit, das System f\u00fcr Aufgaben anzupassen, die nicht mit Schwachstellen zusammenh\u00e4ngen, beispielsweise zur Erkennung von Code-Klonierung oder zur Verwendung von lizenziertem Code in anderen Projekten. <\/ul>\n
![\"Google](\"\/wp-content\/uploads\/2024\/12\/2c0e972dd6294e148aabac3657a7f9e9.png\")
<\/center> ![\"Google](\"\/wp-content\/uploads\/2024\/12\/0dda2019ec266d89ae2bfaec43f72c33.png\")
<\/center> <\/p>\n