{"id":120879,"date":"2024-12-06T21:45:59","date_gmt":"2024-12-06T19:46:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej"},"modified":"2024-12-06T21:45:59","modified_gmt":"2024-12-06T19:46:00","slug":"google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","title":{"rendered":"A Google k\u00f6zz\u00e9tette a Vanirt, egy statikus elemz\u0151t a jav\u00edtatlan s\u00e9r\u00fcl\u00e9kenys\u00e9gek azonos\u00edt\u00e1s\u00e1ra","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A Google bemutatta \u00faj ny\u00edlt projektj\u00e9t, a Vanirt, amely egy statikus elemz\u0151t fejleszt a k\u00f3dhoz nem alkalmazott jav\u00edt\u00f3csomagok automatikus \u00e9szlel\u00e9s\u00e9re, amelyek biztons\u00e1gi r\u00e9seket h\u00e1r\u00edtanak el. A Vanir egy ismert sebezhet\u0151s\u00e9gekr\u0151l \u00e9s jav\u00edt\u00f3csomagokr\u00f3l sz\u00f3l\u00f3 al\u00e1\u00edr\u00e1sadatb\u00e1zist haszn\u00e1l a sebezhet\u0151s\u00e9gek kik\u00fcsz\u00f6b\u00f6l\u00e9s\u00e9re. Ezt az adatb\u00e1zist a Google 2020 j\u00faliusa \u00f3ta vezeti, \u00e9s a sebezhet\u0151s\u00e9gek 95%-\u00e1t fedi le az Android platformhoz kapcsol\u00f3d\u00f3 projektekben, bele\u00e9rtve a Linux kernelt is. Jelenleg a C, C++ \u00e9s Java nyelvek forr\u00e1sk\u00f3dj\u00e1nak ellen\u0151rz\u00e9se t\u00e1mogatott. A Vanir k\u00f3dja C++ \u00e9s Python nyelveken \u00edr\u00f3dott, \u00e9s BSD licenc alatt ker\u00fcl forgalomba. <\/p>\n
A projekt k\u00e9t r\u00e9szb\u0151l \u00e1ll \u2014 a jelsz\u00f3gener\u00e1torb\u00f3l \u00e9s a kihagyott jav\u00edt\u00e1sokat \u00e9szlel\u0151 rendszerb\u0151l. A jelsz\u00f3gener\u00e1tor a sebezhet\u0151s\u00e9g OSV form\u00e1tum\u00fa le\u00edr\u00e1sa \u00e9s a sebezhet\u0151s\u00e9get megsz\u00fcntet\u0151 jav\u00edt\u00e1s vagy commit hivatkoz\u00e1sa alapj\u00e1n alak\u00edtja ki a hi\u00e1nyz\u00f3 jav\u00edt\u00e1s azonos\u00edt\u00e1s\u00e1ra szolg\u00e1l\u00f3 jelsz\u00f3t. Jelenleg a googlesource.com \u00e9s a git.codelinaro.org adatt\u00e1rak commitjainak feldolgoz\u00e1sa van t\u00e1mogatva, de m\u00e1s szolg\u00e1ltat\u00e1sok t\u00e1mogat\u00e1sa k\u00f6nnyen hozz\u00e1adhat\u00f3 egy k\u00f3dkiolvas\u00f3 feldolgoz\u00f3 csatlakoztat\u00e1s\u00e1val. <\/p>\n
Az \u00e9rz\u00e9kel\u0151 elemzi a megadott adatt\u00e1rban tal\u00e1lhat\u00f3 k\u00f3dot, \u00e9s meghat\u00e1rozza, hogy hi\u00e1nyoznak-e a megadott al\u00e1\u00edr\u00e1sokban le\u00edrt jav\u00edt\u00e1sok. A megval\u00f3s\u00edt\u00e1s automatikus al\u00e1\u00edr\u00e1sfinom\u00edt\u00f3 algoritmusokon \u00e9s t\u00f6bbr\u00e9teg\u0171 mintanal\u00edzisen alapul, amelyeket a ReDeBug \u00e9s VUDDY kutat\u00e1si projektek javasoltak. Egy 16 magos CPU-val rendelkez\u0151 modern PC-n az Android platform forr\u00e1sf\u00e1inak \u00e1tvizsg\u00e1l\u00e1sa az OSV-adatb\u00e1zisb\u00f3l sz\u00e1rmaz\u00f3, t\u00f6bb mint 2000 sebezhet\u0151s\u00e9gr\u0151l sz\u00f3l\u00f3 inform\u00e1ci\u00f3 alapj\u00e1n 10-20 percet vesz ig\u00e9nybe. A kimenet egy jelent\u00e9s, amely tartalmazza a potenci\u00e1lisan nem jav\u00edtott sebezhet\u0151s\u00e9gek list\u00e1j\u00e1t \u00e9s a k\u00f3d kapcsol\u00f3d\u00f3 r\u00e9szeire mutat\u00f3 hivatkoz\u00e1sokat, CVE-azonos\u00edt\u00f3kat \u00e9s jav\u00edt\u00f3csomagokat. A Google \u00e1ltal a Vanir haszn\u00e1lat\u00e1r\u00f3l gy\u0171jt\u00f6tt statisztik\u00e1k szerint a hamis riaszt\u00e1sok ar\u00e1nya 2,72%.
<\/center>
<\/center> <\/p>\n
A javasolt eszk\u00f6z\u00f6k el\u0151nyei: <\/p>\n
\n
A lehet\u0151s\u00e9g arra, hogy azonos\u00edtsuk a nem jav\u00edtott sebezhet\u0151s\u00e9geket harmadik f\u00e9l \u00e1gazataiban, m\u00f3dos\u00edt\u00e1saiban \u00e9s k\u00f3d\u00e1tviteleiben, amelyek k\u00f6zvetlen\u00fcl nem kapcsol\u00f3dnak a f\u0151 projekthez. Az Android kontextus\u00e1ban az eszk\u00f6z haszn\u00e1lhat\u00f3 jav\u00edt\u00e1sok alkalmaz\u00e1s\u00e1nak ellen\u0151rz\u00e9s\u00e9re az OEM-gy\u00e1rt\u00f3k \u00e1ltal fejlesztett Android platformvari\u00e1nsokban.\n
A vizsg\u00e1lat elv\u00e9gz\u00e9se kiz\u00e1r\u00f3lag a rendelkez\u00e9sre \u00e1ll\u00f3 k\u00f3d elemz\u00e9s\u00e9n alapul, an\u00e9lk\u00fcl, hogy a metadat\u00e1kra, p\u00e9ld\u00e1ul a verzi\u00f3sz\u00e1mra, a commit-t\u00f6rt\u00e9netre vagy a SBOM (Szoftver Sz\u00e1mlat\u00f6mb) k\u00f6t\u0151dne.\n
T\u00e1mogat\u00e1s az al\u00e1\u00edr\u00e1sok automatikus gener\u00e1l\u00e1s\u00e1hoz, az \u00fajonnan megjelen\u0151, nyilv\u00e1nos forr\u00e1sokban fellelhet\u0151 s\u00e9r\u00fcl\u00e9kenys\u00e9gekr\u0151l \u00e9s az azt k\u00eds\u00e9r\u0151 jav\u00edt\u00e1sokr\u00f3l sz\u00f3l\u00f3 inform\u00e1ci\u00f3k alapj\u00e1n.\n
A statikus k\u00f3delemz\u00e9s alap\u00fa ellen\u0151rz\u00e9s teljes\u00edtm\u00e9nye meghaladja a dinamikus elemz\u0151 \u00e9s bin\u00e1ris csomagok ellen\u0151rz\u00e9si eszk\u00f6zeinek teljes\u00edtm\u00e9ny\u00e9t.\n
Az \u00f6n\u00e1ll\u00f3s\u00e1g \u2014 az infrastrukt\u00fara saj\u00e1t rendszereken val\u00f3 telep\u00edt\u00e9s\u00e9nek lehet\u0151s\u00e9ge k\u00fcls\u0151 szolg\u00e1ltat\u00e1sok ig\u00e9nybev\u00e9tele n\u00e9lk\u00fcl.\n
Egy aktu\u00e1lis al\u00e1\u00edr\u00e1si adatb\u00e1zis megl\u00e9te, amelyet a Google Android Security Team csapata k\u00eds\u00e9r.\n
T\u00e1mogat\u00e1s a folyamatos integr\u00e1ci\u00f3s \u00e9s sz\u00e1ll\u00edt\u00e1si rendszerekhez (CI\/CD). Integr\u00e1ci\u00f3 egy\u00e9b projektekbe a Vanir Python nyelv\u0171 k\u00f6nyvt\u00e1rak\u00e9nt t\u00f6rt\u00e9n\u0151 felhaszn\u00e1l\u00e1s\u00e1val.\n
A rendszer alkalmaz\u00e1s\u00e1nak lehet\u0151s\u00e9ge olyan feladatokhoz, amelyek nem kapcsol\u00f3dnak s\u00e9r\u00fcl\u00e9kenys\u00e9gekhez, p\u00e9ld\u00e1ul k\u00f3dkl\u00f3noz\u00e1s vagy licencelt k\u00f3d m\u00e1s projektekben val\u00f3 haszn\u00e1lata. <\/ul>\n
![\"A](\"\/wp-content\/uploads\/2024\/12\/2c0e972dd6294e148aabac3657a7f9e9.png\")
<\/center> ![\"A](\"\/wp-content\/uploads\/2024\/12\/0dda2019ec266d89ae2bfaec43f72c33.png\")
<\/center> <\/p>\n