{"id":120879,"date":"2024-12-06T21:45:59","date_gmt":"2024-12-06T19:46:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej"},"modified":"2024-12-06T21:45:59","modified_gmt":"2024-12-06T19:46:00","slug":"google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/google-opublikoval-vanir-staticheskij-analizator-dlya-vyyavleniya-neispravlennyh-uyazvimostej","title":{"rendered":"Google ha pubblicato Vanir, un analizzatore statico per l'individuazione di vulnerabilit\u00e0 non corrette","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Google ha presentato un nuovo progetto open source, Vanir, che sviluppa un analizzatore statico per identificare automaticamente le patch non applicate al codice che risolvono vulnerabilit\u00e0. Vanir utilizza un database di firme con informazioni sulle vulnerabilit\u00e0 note e le patch per correggerle. Questo database \u00e8 gestito da Google da luglio 2020 e copre il 95% delle vulnerabilit\u00e0 nei progetti legati alla piattaforma Android, inclusi il kernel Linux. Attualmente supporta il controllo del codice sorgente in C, C++ e Java. Il codice di Vanir \u00e8 scritto in C++ e Python, ed \u00e8 distribuito sotto licenza BSD. <\/p>\n
Il progetto \u00e8 composto da due parti \u2014 un generatore di firme e un rilevatore di patch mancanti. Il generatore crea una firma per identificare la mancanza di una correzione basata sulla descrizione della vulnerabilit\u00e0 nel formato OSV e sul collegamento a una patch o un commit che risolve la vulnerabilit\u00e0. Nella sua forma attuale, supporta l'elaborazione di commit nei repository googlesource.com e git.codelinaro.org, ma il supporto per altri servizi pu\u00f2 essere facilmente aggiunto collegando un gestore per l'estrazione del codice. <\/p>\n
Il rilevatore analizza il codice nel repository specificato e determina l'assenza di correzioni descritte nelle firme fornite. L'implementazione si basa su algoritmi di affinamento automatico delle firme e analisi di modelli multipli, proposti nei progetti di ricerca ReDeBug e VUDDY. Su un computer moderno con CPU a 16 core, la scansione dell'albero del codice sorgente della piattaforma Android in base al database OSV con informazioni su oltre 2000 vulnerabilit\u00e0 richiede 10-20 minuti. Al termine, viene generato un report con un elenco delle vulnerabilit\u00e0 potenzialmente non corrette e collegamenti alle relative posizioni nel codice, identificatori CVE e patch. Secondo le statistiche raccolte negli ultimi due anni di utilizzo di Vanir in Google, il tasso di falsi positivi \u00e8 del 2.72%.
<\/center>
<\/center> <\/p>\n
Vantaggi degli strumenti proposti: <\/p>\n
\n
Possibilit\u00e0 di individuare vulnerabilit\u00e0 non corrette in ramificazioni di terzi, modifiche e riutilizzi di codice, non direttamente collegati al progetto principale. Nel contesto di Android, gli strumenti possono essere utilizzati per verificare l'applicazione delle correzioni nelle varianti della piattaforma Android sviluppate dai produttori OEM.\n
Esecuzione della verifica solo sulla base dell'analisi del codice disponibile, senza legami con metadati come il numero di versione, la cronologia dei commit e SBOM (Software Bill Of Materials).\n
Supporto per la generazione automatica di firme, utilizzando informazioni sulle vulnerabilit\u00e0 emerse in fonti pubbliche e patch pubblicate da parte di sviluppatori.\n
Maggiore efficienza nella verifica basata su analisi statica del codice sorgente rispetto agli strumenti di analisi dinamica e di verifica delle build binarie.\n
L'autosufficienza \u2014 la possibilit\u00e0 di implementare l'infrastruttura sui propri sistemi senza ricorrere a servizi esterni.\n
Disponibilit\u00e0 di un database di firme attuale e completo, supportato dal team di Google Android Security Team.\n
Supporto per l'integrazione con sistemi di integrazione e distribuzione continua (CI\/CD). Possibilit\u00e0 di integrazione in altri progetti utilizzando Vanir come librerie in linguaggio Python.\n
Possibilit\u00e0 di adattare il sistema per compiti non correlati alle vulnerabilit\u00e0, ad esempio per rilevare cloni di codice o l'uso di codice con licenza in altri progetti. <\/ul>\n
![\"Google](\"\/wp-content\/uploads\/2024\/12\/2c0e972dd6294e148aabac3657a7f9e9.png\")
<\/center> ![\"Google](\"\/wp-content\/uploads\/2024\/12\/0dda2019ec266d89ae2bfaec43f72c33.png\")
<\/center> <\/p>\n