Google publizéiert Vanir, e statesche Analyser fir onpatched Schwachstelle z'identifizéieren

Google huet en neit Open-Source-Projet, Vanir, virgestallt, deen e stateschen Analysator entwéckelt fir automatesch net ugewannt Patches op Code z'identifizéieren, déi Schwachstelle behiewen. Vanir benotzt eng Signature-Datebank vu bekannte Schwachstelle a Patches fir se ze behiewen. Google bedreift eng ähnlech Datebank zënter Juli 2020 a deckt 95% vun de Schwachstelle a plattformbezunnen Projeten of. Android, dorënner de Kär LinuxAktuell gëtt d'Quellcode-Iwwerpréiwung fir C, C++ a Java ënnerstëtzt. Vanir ass a C++ a Python geschriwwen a gëtt ënner der BSD-Lizenz verdeelt.

De Projet besteet aus zwee Deeler - en Ënnerschrëft Generator an e verpasst Patch Detektor. De Generator generéiert eng Ënnerschrëft fir d'Feele vun enger Fix ze identifizéieren baséiert op enger Beschreiwung vun der Schwachstelle am OSV-Format an e Link op de Patch oder Engagement, deen d'Schwachheet eliminéiert. A senger aktueller Form ënnerstëtzt et d'Veraarbechtung vu Verpflichtungen an de googlesource.com a git.codelinaro.org Repositories, awer Ënnerstëtzung fir aner Servicer kann einfach bäigefüügt ginn andeems Dir e Code Pull Handler verbënnt.

Den Detektor analyséiert de Code am spezifizéierte Repository a bestëmmt ob en déi Fixer enthält, déi an de geliwwerte Signaturen beschriwwe sinn. D'Implementatioun baséiert op Algorithmen fir automatesch Signaturverfeinerung a Multiple-Muster-Analyse, déi an de Fuerschungsprojeten ReDeBug a VUDDY proposéiert goufen. Op engem modernen PC mat enger 16-Kär-CPU, Scannt de Quellbam vun der Plattform Android D'Benotzung vun enger OSV-Datebank mat Informatiounen iwwer iwwer 2000 Schwachstelle dauert 10-20 Minutten. De resultéierende Bericht lëscht potenziell net gepatcht Schwachstelle a Linken op hir associéiert Codeplazen, CVE-Identifikatoren a Patches op. Laut Statistiken, déi iwwer zwee Joer Vanir-Benotzung bei Google gesammelt goufen, ass d'Falsch-Positiv-Rate 2.72%.

Virdeeler vun de proposéierten Tools:

• D'Fäegkeet, net gepatcht Schwachstelle bei Forken, Modifikatiounen a Code-Léin vun Drëttubidder z'identifizéieren, déi net direkt mam Haaptprojet zesummenhänken. Am Kontext Android D'Tool kann benotzt ginn fir d'Applikatioun vu Fixes op verschiddene Plattformvarianten ze kontrolléieren. Android, entwéckelt vun OEM-Geräterhersteller.
• Maacht e Scheck nëmmen op Basis vun der Analyse vum existente Code, ouni Referenz op Metadaten wéi Versiounsnummer, Engagementgeschicht a SBOM (Software Bill Of Materials).
• Ënnerstëtzung fir automatesch Generatioun vun Ënnerschrëften mat Informatioun iwwer Schwachstelle erschéngen an ëffentleche Quellen a Patches publizéiert vun Ënnerhalter.
• Méi héich Verifizéierungsleistung baséiert op statesch Quellcodeanalyse am Verglach mat Tools fir dynamesch Analyse a Verifizéierung vu binäre Versammlungen.
• Selbstversécherung ass d'Fäegkeet fir Infrastrukturen op Ären eegene Systemer z'installéieren ouni extern Servicer ze benotzen.
• Verfügbarkeet vun enger fäerdeger, aktueller Ënnerschrëftendatebank, ënnerstëtzt vum Google Team Android Sécherheetsteam.
• Ënnerstëtzung fir Verbindung mat kontinuéierlech Integratioun a Liwwerung (CI / CD) Systemer. Méiglechkeet vun Integratioun an aner Projete benotzt Vanir a Form vu Python Bibliothéiken.
• D'Kapazitéit fir de System unzepassen fir Aufgaben déi net mat Schwachstelle verbonne sinn, zum Beispill fir Code Klonen oder Notzung vum lizenzéierte Code an anere Projeten z'entdecken.

Source: opennet.ru