Facebook は、Android アプリケーションと Java プログラムの脆弱性を特定することを目的とした、新しいオープンソース静的アナライザー Mariana Trench を導入しました。 Dalvik 仮想マシンのバイトコードのみが利用可能な、ソース コードなしのプロジェクトを分析することも可能です。 もう 10 つの利点は、実行速度が非常に高いことです (数百万行のコードの分析には約 XNUMX 秒かかります)。これにより、Mariana Trench を使用して、提案されたすべての変更を到着時に確認できます。 プロジェクト コードは C++ で書かれており、MIT ライセンスの下で配布されます。
このアナライザーは、Facebook、Instagram、Whatsapp のモバイル アプリケーションのソース テキストをレビューするプロセスを自動化するプロジェクトの一環として開発されました。 2021 年上半期に、Facebook モバイル アプリケーションのすべての脆弱性の半数が自動分析ツールを使用して特定されました。 Mariana Trench コードは、他の Facebook プロジェクトと密接に絡み合っています。たとえば、バイトコードの解析には Redex バイトコード オプティマイザーが使用され、静的分析の結果を視覚的に解釈して研究するために SPARTA ライブラリが使用されました。
アプリケーション実行中のデータ フローを分析し、SQL クエリ、ファイル操作、外部プログラムをトリガーする呼び出しなど、生の外部データが危険な構造で処理される状況を特定することで、潜在的な脆弱性とプライバシーの問題が特定されます。
アナライザーの仕事は、データのソースと、そのソース データを使用すべきではない危険な呼び出しを特定することです。アナライザーは、一連の関数呼び出しを通じてデータの通過を追跡し、ソース データをコード内の潜在的に危険な場所に接続します。 。 たとえば、Intent.getData への呼び出しを通じて受信したデータはソース追跡が必要とみなされ、Log.w および Runtime.exec への呼び出しは危険な使用とみなされます。
出所： オープンネット.ru