Facebook prezentis novan malferman senmovan analizilon, Mariana Trench, celantan identigi vundeblecojn en aplikoj por la Android-platformo kaj Java-programoj. Eblas analizi projektojn sen fontkodoj, por kiuj disponeblas nur bajtokodo por la virtuala maŝino Dalvik. Alia avantaĝo estas ĝia tre alta ekzekutrapideco (analizo de pluraj milionoj da linioj de kodo daŭras ĉirkaŭ 10 sekundojn), kiu permesas vin uzi Mariana Trench por kontroli ĉiujn proponitajn ŝanĝojn kiam ili alvenas. La projektkodo estas skribita en C++ kaj estas distribuita sub la MIT-licenco.
La analizilo estis evoluigita kiel parto de projekto por aŭtomatigi la procezon de revizio de la fontotekstoj de moveblaj aplikoj por Facebook, Instagram kaj Whatsapp. En la unua duono de 2021, duono de ĉiuj vundeblecoj en Facebook-poŝtelefonaj aplikoj estis identigitaj per aŭtomatigitaj analiziloj. La Mariana Trench-kodo estas proksime interplektita kun aliaj Facebook-projektoj; ekzemple, la Redex-bajtkodo-optimumiganto estis uzita por analizi la bajtkodon, kaj la SPARTA-biblioteko estis uzita por vide interpreti kaj studi la rezultojn de senmova analizo.
Eblaj vundeblecoj kaj privatecproblemoj estas identigitaj analizante datumfluojn dum aplikaĵekzekuto por identigi situaciojn kie krudaj eksteraj datenoj estas prilaboritaj en danĝeraj konstrukcioj, kiel ekzemple SQL-demandoj, dosieroperacioj, kaj vokoj kiuj ekigas eksterajn programojn.
La laboro de la analizilo konsistas en identigi fontojn de datumoj kaj danĝerajn alvokojn, en kiuj la fontaj datumoj ne devus esti uzataj - la analizilo spuras la paŝon de datumoj tra la ĉeno de funkciovokoj kaj ligas la fontajn datumojn kun eble danĝeraj lokoj en la kodo. . Ekzemple, datumoj ricevitaj per alvoko al Intent.getData estas konsideritaj postuli fontspuradon, kaj vokoj al Log.w kaj Runtime.exec estas konsiderataj danĝeraj uzoj.
fonto: opennet.ru