Google esitles projekt ClusterFuzzLite, mis v\u00f5imaldab korraldada fuzzing-testimist koodi varajaseks tuvastamiseks potentsiaalsetest haavatavustest pideva integreerimise s\u00fcsteemide t\u00f6\u00f6s. Praegu saab ClusterFuzzi kasutada pull-p\u00e4ringute automaatseks fuzzing-testimiseks GitHub Actions, Google Cloud Build ja Prow keskkondades, kuid tulevikus on oodata toetuse laienemist ka teiste CI-s\u00fcsteemide jaoks. Projekt p\u00f5hineb ClusterFuzzi platvormil, mis on loodud fuzzing-testimise klastrite koordineerimiseks, ja levitatakse Apache 2.0 litsentsi alusel. <\/p>\n
Teatatakse, et p\u00e4rast Google'i poolt 2016. aastal k\u00e4ivitatud OSS-Fuzzi teenuse rakendamist on pideva fuzzing-testimise programmi kuulumiseks aktsepteeritud \u00fcle 500 olulise avatud projekti. Teostatud kontrollide tulemusena on k\u00f5rvaldatud \u00fcle 6500 kinnitatud haavatavuse ja parandatud \u00fcle 21 000 vea. ClusterFuzzLite j\u00e4tkab fuzzing-testimise mehhanismide arendamist, et varakult tuvastada probleeme muudatuste \u00fclevaatamise etapis. ClusterFuzzLite on juba rakendatud systemd ja curl projektide muudatuste \u00fclevaatamise protsessides, mille k\u00e4igus suudeti tuvastada vead, mis j\u00e4id algsete koodi kontrollide k\u00e4igus vahele staatiliste anal\u00fcsaatorite ja linterite poolt. <\/p>\n
ClusterFuzzLite toetab projektide kontrollimist C, C++, Java (ja teiste JVM-i toetavate keelte), Go, Python, Rust ja Swift keeltes. Fuzzing-testimist viib l\u00e4bi LibFuzzer mootori abil. M\u00e4lu ja anomaaliade probleemide tuvastamiseks v\u00f5ivad samuti kutsuda \u00fcles t\u00f6\u00f6riistad AddressSanitizer, MemorySanitizer ja UBSan (UndefinedBehaviorSanitizer). <\/p>\n
ClusterFuzzLite p\u00f5hifunktsioonid: kiire kontroll pakkumiste kohta, et tuvastada vigu enne koodi aktsepteerimist; crash-tingimuste raportite \u00fcleslaadimise v\u00f5imalus; v\u00f5imalus liikuda detailsemale fuzzing-testimisele, et tuvastada s\u00fcgavamaid vigu, mis ei ilmunud koodi muudatuste kontrollimise k\u00e4igus; katvuse raportite genereerimine koodi katvuse hindamiseks testimisel; modulaarne arhitektuur, mis v\u00f5imaldab valida vajalikke funktsioone. <\/p>\n
Tuletame meelde, et fuzzing-testimise k\u00e4igus genereeritakse voog igasugustest juhuslikest sisendandmete kombinatsioonidest, mis on l\u00e4hedased reaalsetele andmetele (n\u00e4iteks html-lehed juhuslike sildiparametritega, arhivide v\u00f5i ebanormaalsete p\u00e4istega pildid jne) ning fikseeritakse v\u00f5imalikud vead nende t\u00f6\u00f6tlemise k\u00e4igus. Kui m\u00f5ni j\u00e4rjestus p\u00f5hjustab kokkuvarisemise v\u00f5i ei vasta oodatud reaktsioonile, siis selline k\u00e4itumine viitab t\u00f5en\u00e4oliselt veale v\u00f5i haavatavusele. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"