Három év fejlesztés után megjelent a GNU cflow 1.7 segédprogram, amely a C nyelvű programok függvényhívásainak vizuális gráfjának elkészítésére szolgál, és amely egyszerűsítheti az alkalmazás működésének logikájának tanulmányozását. A gráf csak a forráskód elemzésén alapul, a program futtatása nélkül. Támogatja a végrehajtási szálak közvetlen és fordított gráfjának generálását, valamint a kódfájlok közötti hivatkozások listáinak előállítását.
A kiadás különösen figyelemre méltó a „dot” kimeneti formátum támogatásának megvalósításával (‘--format=dot’), amely lehetővé teszi az eredmények DOT nyelven való elkészítését, a Graphviz csomagban történő vizualizáláshoz. Lehetőség nyílik több kezdőfüggvény megadására ‘--main’ opciók megismétlésével, és minden egyes ilyen függvényhez külön gráf fog generálódni. Emellett hozzá lett adva a „--target=FUNCTION” opció, amely lehetővé teszi az eredménygráf korlátozását csak egy adott függvény ágára (a „--target” opciót többször is meg lehet adni). A cflow-mode-hoz új navigációs parancsok kerültek be: „c” — ugrás a hívó függvényhez, „n” — ugrás a következő függvényhez ugyanazon a szint mélységén, és „p” — ugrás azonos mélységi szinten lévő előző függvényhez.
Az új verzióban két, 2019-ben felfedezett sebezhetőséget is megszüntettek, amelyek memóriahibához vezethettek a cflow által speciálisan formázott forráskódok feldolgozása során. Az első sebezhetőség (CVE-2019-16165) a memória felszabadítása utáni hozzáférés (use-after-free) által okozott a parser kódjában (reference funkció a parser.c-ben). A második sebezhetőség (CVE-2019-16166) a nexttoken() függvényben található puffertúlfolyással kapcsolatos. A fejlesztők véleménye szerint a megadott problémák nem jelentenek biztonsági kockázatot, mivel az alkalmazás összeomlásával korlátozódnak.
Forrás: opennet.ru
