{"id":120879,"date":"2024-12-06T21:45:59","date_gmt":"2024-12-06T19:46:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej"},"modified":"2024-12-06T21:45:59","modified_gmt":"2024-12-06T19:46:00","slug":"google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","title":{"rendered":"Google ha publicado Vanir, un analizador est\u00e1tico para detectar vulnerabilidades no corregidas","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La empresa Google ha presentado un nuevo proyecto abierto llamado Vanir, que desarrolla un analizador est\u00e1tico para detectar autom\u00e1ticamente parches no aplicados al c\u00f3digo que eliminan vulnerabilidades. Vanir utiliza una base de firmas con informaci\u00f3n sobre vulnerabilidades y parches conocidos para corregir estas vulnerabilidades. Esta base de datos ha sido mantenida por Google desde julio de 2020 y abarca el 95% de las vulnerabilidades en proyectos relacionados con la plataforma Android, incluido el n\u00facleo de Linux. Actualmente, se soporta la verificaci\u00f3n de c\u00f3digo fuente en los lenguajes C, C++ y Java. El c\u00f3digo de Vanir est\u00e1 escrito en C++ y Python, y se distribuye bajo la licencia BSD. <\/p>\n
El proyecto consta de dos partes: un generador de firmas y un detector de parches faltantes. El generador forma una firma para identificar la ausencia de una correcci\u00f3n basada en la descripci\u00f3n de la vulnerabilidad en formato OSV y un enlace al parche o commit que soluciona la vulnerabilidad. En su forma actual, se admite el procesamiento de commits en los repositorios googlesource.com y git.codelinaro.org, pero se puede a\u00f1adir f\u00e1cilmente soporte para otros servicios mediante la conexi\u00f3n de un controlador para extraer el c\u00f3digo. <\/p>\n
El detector analiza el c\u00f3digo en el repositorio especificado y determina la falta de correcciones descritas en las firmas proporcionadas. La implementaci\u00f3n se basa en algoritmos de refinamiento autom\u00e1tico de firmas y an\u00e1lisis de m\u00faltiples patrones, propuestos en los proyectos de investigaci\u00f3n ReDeBug y VUDDY. En un PC moderno con CPU de 16 n\u00facleos, el escaneo del \u00e1rbol de fuentes de la plataforma Android utilizando la base de datos OSV con informaci\u00f3n sobre m\u00e1s de 2000 vulnerabilidades toma de 10 a 20 minutos. Se genera un informe con una lista de vulnerabilidades potencialmente no corregidas y enlaces a posiciones relacionadas en el c\u00f3digo, identificadores CVE y parches. Seg\u00fan las estad\u00edsticas recopiladas durante dos a\u00f1os de uso de Vanir en Google, la tasa de falsos positivos es del 2.72%.
<\/center>
<\/center> <\/p>\n
Ventajas de las herramientas propuestas: <\/p>\n
\n
La capacidad para identificar vulnerabilidades no corregidas en bifurcaciones externas, modificaciones y pr\u00e9stamos de c\u00f3digo que no est\u00e1n directamente relacionados con el proyecto principal. En el contexto de Android, la herramienta puede utilizarse para verificar la aplicaci\u00f3n de parches en las variantes de la plataforma Android desarrolladas por los fabricantes de dispositivos OEM.\n
La verificaci\u00f3n se realiza \u00fanicamente mediante el an\u00e1lisis del c\u00f3digo existente, sin referencia a metadatos como el n\u00famero de versi\u00f3n, el historial de commits y el SBOM (Software Bill Of Materials).\n
Soporte para la generaci\u00f3n autom\u00e1tica de firmas, utilizando informaci\u00f3n sobre vulnerabilidades que aparece en fuentes p\u00fablicas y parches publicados por los mantenedores.\n
Rendimiento de verificaci\u00f3n m\u00e1s alto basado en el an\u00e1lisis est\u00e1tico del c\u00f3digo fuente en comparaci\u00f3n con las herramientas de an\u00e1lisis din\u00e1mico y verificaci\u00f3n de compilaciones binarias.\n
La autosuficiencia es la capacidad de desplegar infraestructura en sus propios sistemas sin recurrir a servicios externos.\n
Disponibilidad de una base de firmas actual lista, respaldada por el equipo de seguridad de Google Android.\n
Soporte para conexi\u00f3n a sistemas de integraci\u00f3n y entrega continua (CI\/CD). Posibilidad de integraci\u00f3n en otros proyectos utilizando Vanir en forma de bibliotecas en Python.\n
Capacidad de adaptar el sistema para tareas no relacionadas con vulnerabilidades, por ejemplo, para detectar la clonaci\u00f3n de c\u00f3digo o el uso de c\u00f3digo con licencia en otros proyectos. <\/ul>\n
![\"Google](\"\/wp-content\/uploads\/2024\/12\/2c0e972dd6294e148aabac3657a7f9e9.png\")
<\/center> ![\"Google](\"\/wp-content\/uploads\/2024\/12\/0dda2019ec266d89ae2bfaec43f72c33.png\")
<\/center> <\/p>\n