{"id":120879,"date":"2024-12-06T21:45:59","date_gmt":"2024-12-06T19:46:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej"},"modified":"2024-12-06T21:45:59","modified_gmt":"2024-12-06T19:46:00","slug":"google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","title":{"rendered":"Google ha pubblicato Vanir, un analizzatore statico per identificare vulnerabilit\u00e0 non corrette","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'azienda Google ha presentato il nuovo progetto open source Vanir, che sviluppa un analizzatore statico per l'identificazione automatica delle patch non applicate al codice, che risolvono le vulnerabilit\u00e0. Vanir utilizza un database di firme con informazioni su vulnerabilit\u00e0 e patch note per risolvere queste vulnerabilit\u00e0. Tale database \u00e8 gestito da Google dal luglio 2020 e copre il 95% delle vulnerabilit\u00e0 nei progetti legati alla piattaforma Android, incluso il kernel Linux. Attualmente supporta la verifica del codice sorgente nei linguaggi C, C++ e Java. Il codice di Vanir \u00e8 scritto in C++ e Python e viene distribuito con licenza BSD. <\/p>\n
Il progetto \u00e8 composto da due parti: un generatore di firme e un rilevatore di patch mancanti. Il generatore crea una firma per identificare l'assenza di una correzione basata sulla descrizione della vulnerabilit\u00e0 nel formato OSV e su un collegamento a una patch o a un commit che risolve la vulnerabilit\u00e0. Attualmente, supporta l'elaborazione di commit nei repository googlesource.com e git.codelinaro.org, ma il supporto per altri servizi pu\u00f2 essere facilmente aggiunto collegando un gestore per estrarre il codice. <\/p>\n
Il rilevatore analizza il codice nel repository specificato e determina l'assenza di correzioni descritte nelle firme fornite. L'implementazione si basa su algoritmi di raffinamento automatico delle firme e sull'analisi di molteplici modelli, proposti nei progetti di ricerca ReDeBug e VUDDY. Su un PC moderno con CPU a 16 core, la scansione dell'albero del codice sorgente della piattaforma Android tramite il database OSV con informazioni su oltre 2000 vulnerabilit\u00e0 richiede 10-20 minuti. In uscita, viene generato un rapporto con un elenco delle vulnerabilit\u00e0 potenzialmente non corrette e collegamenti alle relative posizioni nel codice, identificatori CVE e patch. Secondo le statistiche raccolte in due anni di utilizzo di Vanir in Google, il tasso di falsi positivi \u00e8 del 2,72%.
<\/center>
<\/center> <\/p>\n
Vantaggi degli strumenti proposti: <\/p>\n
\n
La possibilit\u00e0 di identificare vulnerabilit\u00e0 non corrette in fork, modifiche e riutilizzi di codice di terze parti, non direttamente collegati al progetto principale. Nel contesto di Android, questo strumento pu\u00f2 essere utilizzato per verificare l'applicazione delle correzioni nelle varianti della piattaforma Android sviluppate dai produttori OEM.\n
L'esecuzione della verifica solo sulla base dell'analisi del codice esistente, senza legame con i metadati, come il numero di versione, la cronologia dei commit e SBOM (Software Bill Of Materials).\n
Supporto per la generazione automatica di firme, utilizzando informazioni su vulnerabilit\u00e0 disponibili in fonti pubbliche e patch pubblicate dai fornitori.\n
Migliore performance di verifica basata su analisi statica del codice sorgente rispetto agli strumenti per analisi dinamica e verifica delle compilazioni binarie.\n
L'autosufficienza \u00e8 la capacit\u00e0 di implementare un'infrastruttura sui propri sistemi senza fare ricorso a servizi esterni.\n
Disponibilit\u00e0 di un database di firme attuale e pronto, supportato dal Google Android Security Team.\n
Supporto per l'integrazione con sistemi di integrazione e distribuzione continua (CI\/CD). Possibilit\u00e0 di integrazione in altri progetti utilizzando Vanir sotto forma di librerie in Python.\n
Possibilit\u00e0 di adattare il sistema per compiti non legati alle vulnerabilit\u00e0, ad esempio, per identificare il plagio del codice o l'uso di codice sotto licenza in altri progetti. <\/ul>\n
![\"Google](\"\/wp-content\/uploads\/2024\/12\/2c0e972dd6294e148aabac3657a7f9e9.png\")
<\/center> ![\"Google](\"\/wp-content\/uploads\/2024\/12\/0dda2019ec266d89ae2bfaec43f72c33.png\")
<\/center> <\/p>\n