גוגל הציגה את מערכת בדיקת ה-fuzzing ClusterFuzzLite

גוגל הציגה את פרויקט ClusterFuzzLite, המאפשר לארגן בדיקות מטושטשות של קוד לזיהוי מוקדם של פגיעויות פוטנציאליות במהלך פעולתן של מערכות אינטגרציה מתמשכות. נכון לעכשיו, ClusterFuzz יכול לשמש לאוטומטיות של בדיקות fuzz של בקשות משיכה ב-GitHub Actions, Google Cloud Build ו-Prow, אך תמיכה במערכות CI אחרות צפויה בעתיד. הפרויקט מבוסס על פלטפורמת ClusterFuzz, שנוצרה כדי לתאם את העבודה של טשטוש אשכולות בדיקה, ומופץ תחת רישיון Apache 2.0.

יצוין כי לאחר שגוגל הציגה את שירות OSS-Fuzz ב-2016, יותר מ-500 פרויקטים חשובים בקוד פתוח התקבלו לתוכנית הבדיקות המתמשכת של מטושטש. בהתבסס על הבדיקות שבוצעו, יותר מ-6500 פגיעויות מאושרות בוטלו ויותר מ-21 אלף שגיאות תוקנו. ClusterFuzzLite ממשיכה לפתח מנגנוני בדיקה מעורפלים עם יכולת לזהות בעיות מוקדם יותר בשלב הסקירה של השינויים המוצעים. ClusterFuzzLite כבר הוטמע בתהליכי סקירת השינויים בפרויקטים של systemd ו-curl, ואיפשר לזהות שגיאות שפספסו על ידי מנתחים סטטיים ולינטרים המשמשים בשלב הראשוני של בדיקת קוד חדש.

ClusterFuzzLite תומך בסקירת פרויקטים ב-C, C++, Java (ובשפות אחרות מבוססות JVM), Go, Python, Rust ו- Swift. בדיקות פיזור מבוצעות באמצעות מנוע LibFuzzer. ניתן לקרוא לכלים AddressSanitizer, MemorySanitizer ו-UBSan (UndefinedBehaviorSanitizer) כדי לזהות שגיאות זיכרון וחריגות.

תכונות עיקריות של ClusterFuzzLite: בדיקה מהירה של שינויים מוצעים כדי למצוא שגיאות לפני קבלת הקוד; הורדת דוחות על תנאי קריסה; היכולת לעבור לבדיקות טשטוש מתקדמות יותר כדי לזהות שגיאות עמוקות יותר שלא צצו לאחר בדיקת שינויי הקוד; הפקת דוחות כיסוי להערכת כיסוי קוד במהלך בדיקה; ארכיטקטורה מודולרית המאפשרת לך לבחור את הפונקציונליות הנדרשת.

הבה נזכיר שבדיקות מטושטשות כוללות יצירת זרם של כל מיני שילובים אקראיים של נתוני קלט הקרובים לנתונים אמיתיים (לדוגמה, דפי HTML עם פרמטרים אקראיים של תגים, ארכיונים או תמונות עם כותרות חריגות וכו'), והקלטה אפשרית כשלים בתהליך העיבוד שלהם. אם רצף קורס או אינו תואם את התגובה הצפויה, סביר להניח שהתנהגות זו מעידה על באג או פגיעות.

מקור: OpenNet.ru