{"id":102283,"date":"2021-11-14T15:36:53","date_gmt":"2021-11-14T13:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-predstavil-sistemu-fuzzing-testirovaniya-clusterfuzzlite"},"modified":"2021-11-14T15:36:53","modified_gmt":"2021-11-14T13:36:53","slug":"google-predstavil-sistemu-fuzzing-testirovaniya-clusterfuzzlite","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/google-predstavil-sistemu-fuzzing-testirovaniya-clusterfuzzlite","title":{"rendered":"Google ha presentato il sistema di fuzzing ClusterFuzzLite","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Google ha presentato il progetto ClusterFuzzLite, che consente di organizzare il fuzzing del codice per rilevare precocemente potenziali vulnerabilit\u00e0 durante il funzionamento dei sistemi di integrazione continua. Attualmente, ClusterFuzz pu\u00f2 essere utilizzato per automatizzare il fuzzing delle pull request in GitHub Actions, in Google Cloud Build e in Prow, ma si prevede in futuro il supporto per altri sistemi CI. Il progetto \u00e8 basato sulla piattaforma ClusterFuzz, creata per coordinare il lavoro dei cluster di fuzzing e distribuito con licenza Apache 2.0. <\/p>\n
Si segnala che dopo l'introduzione nel 2016 da parte di Google del servizio OSS-Fuzz nel programma di fuzzing testing continuo, sono stati accolti oltre 500 importanti progetti open source. Sulla base delle verifiche effettuate, sono state eliminate pi\u00f9 di 6500 vulnerabilit\u00e0 confermate e corrette oltre 21.000 errori. ClusterFuzzLite continua a sviluppare meccanismi di fuzzing testing con la possibilit\u00e0 di identificare prima i problemi nella fase di revisione delle modifiche proposte. ClusterFuzzLite \u00e8 gi\u00e0 stato implementato nei processi di revisione delle modifiche nei progetti systemd e curl, e ha permesso di individuare errori trascurati da analizzatori statici e linter utilizzati nelle fasi iniziali di verifica del nuovo codice. <\/p>\n
ClusterFuzzLite supporta il controllo dei progetti in linguaggi come C, C++, Java (e altri linguaggi basati su JVM), Go, Python, Rust e Swift. Il fuzzing testing viene realizzato utilizzando il motore LibFuzzer. Per l'individuazione degli errori di gestione della memoria e delle anomalie possono anche essere attivati strumenti come AddressSanitizer, MemorySanitizer e UBSan (UndefinedBehaviorSanitizer). <\/p>\n
Le principali funzionalit\u00e0 di ClusterFuzzLite includono: verifica rapida delle modifiche proposte per individuare errori prima dell'accettazione del codice; caricamento di report sulle condizioni di crash; possibilit\u00e0 di passare a una fuzzing-test pi\u00f9 approfondita per identificare errori pi\u00f9 gravi non emersi dopo la revisione del codice; generazione di report di copertura per valutare l'ambito del codice durante il testing; architettura modulare che consente di selezionare le funzionalit\u00e0 necessarie. <\/p>\n
Ricordiamo che durante il fuzzing-test viene generato un flusso di varie combinazioni casuali di dati d'ingresso, simili ai dati reali (ad esempio, pagine HTML con parametri casuali nei tag, archivi o immagini con intestazioni anomale, ecc.), e viene registrato eventuali malfunzionamenti nel loro trattamento. Se una certa sequenza provoca un crash o non corrisponde alla reazione attesa, tale comportamento \u00e8 altamente indicativo di un errore o vulnerabilit\u00e0. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"