{"id":120879,"date":"2024-12-06T21:45:59","date_gmt":"2024-12-06T19:46:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej"},"modified":"2024-12-06T21:45:59","modified_gmt":"2024-12-06T19:46:00","slug":"google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","title":{"rendered":"Google a publi\u00e9 Vanir, un analyseur statique pour d\u00e9tecter les vuln\u00e9rabilit\u00e9s non corrig\u00e9es","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Google a pr\u00e9sent\u00e9 un nouveau projet open source, Vanir, qui d\u00e9veloppe un analyseur statique pour d\u00e9tecter automatiquement les correctifs non appliqu\u00e9s au code, \u00e9liminant ainsi les vuln\u00e9rabilit\u00e9s. Vanir utilise une base de signatures contenant des informations sur les vuln\u00e9rabilit\u00e9s et les correctifs connus pour rem\u00e9dier \u00e0 ces failles. Google maintient cette base de donn\u00e9es depuis juillet 2020, couvrant 95 % des vuln\u00e9rabilit\u00e9s dans les projets li\u00e9s \u00e0 la plateforme Android, y compris le noyau Linux. \u00c0 l'heure actuelle, la v\u00e9rification du code source est support\u00e9e pour les langages C, C++ et Java. Le code de Vanir est \u00e9crit en C++ et Python, et est distribu\u00e9 sous licence BSD. <\/p>\n
Le projet se compose de deux parties : un g\u00e9n\u00e9rateur de signatures et un d\u00e9tecteur de patchs manquants. Le g\u00e9n\u00e9rateur cr\u00e9e une signature pour identifier l'absence d'un correctif sur la base de la description de la vuln\u00e9rabilit\u00e9 au format OSV et d'un lien vers le correctif ou le commit qui r\u00e9sout la vuln\u00e9rabilit\u00e9. Dans sa forme actuelle, il prend en charge le traitement des commits dans les d\u00e9p\u00f4ts googlesource.com et git.codelinaro.org, mais la prise en charge d'autres services peut facilement \u00eatre ajout\u00e9e via la connexion d'un gestionnaire pour extraire le code. <\/p>\n
Le d\u00e9tecteur analyse le code dans le d\u00e9p\u00f4t sp\u00e9cifi\u00e9 et d\u00e9termine l'absence de correctifs d\u00e9crits dans les signatures fournies. L'impl\u00e9mentation repose sur des algorithmes d'affinement automatique des signatures et d'analyse de multiples mod\u00e8les, propos\u00e9s dans les projets de recherche ReDeBug et VUDDY. Sur un PC moderne avec un CPU \u00e0 16 c\u0153urs, l'analyse de l'arbre des fichiers source de la plateforme Android \u00e0 l'aide de la base OSV contenant des informations sur plus de 2000 vuln\u00e9rabilit\u00e9s prend 10 \u00e0 20 minutes. Un rapport est g\u00e9n\u00e9r\u00e9 \u00e0 la sortie, comprenant une liste des vuln\u00e9rabilit\u00e9s potentiellement non r\u00e9par\u00e9es et des liens vers les positions associ\u00e9es dans le code, des identifiants CVE et des correctifs. Selon les statistiques recueillies au cours de deux ans d'utilisation de Vanir chez Google, le taux de faux positifs s'\u00e9l\u00e8ve \u00e0 2,72 %.
<\/center>
<\/center> <\/p>\n
Les atouts de l'outil propos\u00e9 : <\/p>\n
\n
La possibilit\u00e9 de d\u00e9tecter les vuln\u00e9rabilit\u00e9s non corrig\u00e9es dans des branches d\u00e9riv\u00e9es, des modifications et des emprunts de code, qui ne sont pas directement li\u00e9s au projet principal. Dans le contexte d'Android, l'outil peut \u00eatre utilis\u00e9 pour v\u00e9rifier l'application des correctifs dans les versions de la plateforme Android d\u00e9velopp\u00e9es par les fabricants OEM.\n
L'ex\u00e9cution des v\u00e9rifications uniquement sur la base de l'analyse du code existant, sans lien avec des m\u00e9tadonn\u00e9es telles que le num\u00e9ro de version, l'historique des commits et le SBOM (Software Bill Of Materials).\n
Support de la g\u00e9n\u00e9ration automatique de signatures, en utilisant les informations sur les vuln\u00e9rabilit\u00e9s provenant de sources publiques et les patches publi\u00e9s par des tiers.\n
Une performance de v\u00e9rification bas\u00e9e sur l'analyse statique du code source sup\u00e9rieure \u00e0 celle des outils d'analyse dynamique et de v\u00e9rification des bundles binaires.\n
L'autosuffisance est la capacit\u00e9 de d\u00e9ployer une infrastructure sur ses propres syst\u00e8mes sans faire appel \u00e0 des services externes.\n
Disponibilit\u00e9 d'une base de signatures actuelle et pr\u00eate, accompagn\u00e9e par l'\u00e9quipe de s\u00e9curit\u00e9 de Google Android.\n
Support de la connexion aux syst\u00e8mes de livraison et d'int\u00e9gration continues (CI\/CD). Possibilit\u00e9 d'int\u00e9gration dans d'autres projets en utilisant Vanir sous forme de biblioth\u00e8ques en Python.\n
Capacit\u00e9 d'adapter le syst\u00e8me \u00e0 des t\u00e2ches non li\u00e9es aux vuln\u00e9rabilit\u00e9s, par exemple pour d\u00e9tecter le clonage de code ou l'utilisation de code sous licence dans d'autres projets. <\/ul>\n
![\"Google](\"\/wp-content\/uploads\/2024\/12\/2c0e972dd6294e148aabac3657a7f9e9.png\")
<\/center> ![\"Google](\"\/wp-content\/uploads\/2024\/12\/0dda2019ec266d89ae2bfaec43f72c33.png\")
<\/center> <\/p>\n