Il Fondo OSTIF (Open Source Technology Improvement Fund), creato con l'obiettivo di migliorare la sicurezza dei progetti open source, ha annunciato il completamento di un audit indipendente del codice del progetto LLVM. Il lavoro è stato svolto dalla società inglese Ada Logics. Durante il lavoro è stato ripreso il processo di test interrotto oltre un anno fa in OSS-Fuzz. La copertura del codice coinvolto nel fuzzing è aumentata da 1,1 a 2,4 milioni di righe di codice. È stato inoltre ampliato l'arsenale usato per il fuzzing, e il numero di motori di fuzzing utilizzati per i controlli è aumentato da 12 a 15.
Nel codice di LLVM sono state scoperte 12 nuove problematiche, di cui 8 causate da errori che portano a danni alla memoria. 6 delle vulnerabilità identificate portavano a overflow di buffer, 2 a riferimenti a memoria già liberata, 3 a dereferenziamenti di puntatori nulli e 1 a letture da aree al di fuori di un buffer allocato.
Fonte: opennet.ru
