El Fondo OSTIF (Fondo de Mejora de Tecnología de Código Abierto), creado con el objetivo de fortalecer la seguridad de los proyectos de código abierto, ha anunciado la finalización de una auditoría independiente del código del proyecto LLVM. El trabajo fue realizado por la empresa inglesa Ada Logics. Durante este trabajo, se reinició el proceso de pruebas en OSS-Fuzz, que se había interrumpido hace más de un año. La cobertura de la base de código involucrada en pruebas de fuzzing aumentó de 1.1 a 2.4 millones de líneas de código. También se amplió el conjunto de herramientas utilizado para este tipo de pruebas, y el número de motores de fuzzing aplicados aumentó de 12 a 15.
Como resultado, se identificaron 12 nuevos problemas en la base de código de LLVM, de los cuales 8 fueron causados por errores que provocaban corrupción de memoria. 6 de las vulnerabilidades detectadas conducían a desbordamientos de búfer, 2 a accesos a memoria ya liberada, 3 a desreferenciaciones de punteros nulos y 1 a lecturas desde áreas fuera del búfer asignado.
Fuente: opennet.ru
