Google ເຜີຍແຜ່ Vanir, ເຄື່ອງວິເຄາະສະຖິດສໍາລັບການກໍານົດຈຸດອ່ອນທີ່ບໍ່ໄດ້ຮັບການແກ້ໄຂ

Google ໄດ້ເປີດເຜີຍໂຄງການແຫຼ່ງເປີດໃໝ່ຊື່ວ່າ Vanir, ເຊິ່ງພັດທະນາຕົວວິເຄາະແບບຄົງທີ່ສຳລັບການລະບຸແພັດຊ໌ທີ່ບໍ່ໄດ້ນຳໃຊ້ໂດຍອັດຕະໂນມັດເພື່ອແກ້ໄຂຊ່ອງໂຫວ່ຕ່າງໆ. Vanir ໃຊ້ຖານຂໍ້ມູນລາຍເຊັນຂອງຊ່ອງໂຫວ່ທີ່ຮູ້ຈັກ ແລະ ແພັດຊ໌ເພື່ອແກ້ໄຂບັນຫາເຫຼົ່ານັ້ນ. Google ໄດ້ຮັກສາຖານຂໍ້ມູນທີ່ຄ້າຍຄືກັນນີ້ຕັ້ງແຕ່ເດືອນກໍລະກົດ 2020 ແລະ ກວມເອົາ 95% ຂອງຊ່ອງໂຫວ່ໃນໂຄງການທີ່ກ່ຽວຂ້ອງກັບແພລດຟອມ. Android, ລວມທັງແກນກາງ Linuxປະຈຸບັນ, ການທົບທວນລະຫັດແຫຼ່ງຂໍ້ມູນແມ່ນຮອງຮັບສຳລັບ C, C++, ແລະ Java. Vanir ຖືກຂຽນດ້ວຍພາສາ C++ ແລະ Python ແລະ ຖືກແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ BSD.

ໂຄງ​ການ​ດັ່ງ​ກ່າວ​ປະ​ກອບ​ດ້ວຍ​ສອງ​ພາກ​ສ່ວນ - ເຄື່ອງ​ຜະ​ລິດ​ລາຍ​ເຊັນ​ແລະ​ເຄື່ອງ​ກວດ​ສອບ​ການ​ແກ້​ໄຂ​ບໍ່​ໄດ້​. ເຄື່ອງກໍາເນີດໄຟຟ້າສ້າງລາຍເຊັນເພື່ອກໍານົດການຂາດການແກ້ໄຂໂດຍອີງໃສ່ຄໍາອະທິບາຍກ່ຽວກັບຊ່ອງໂຫວ່ໃນຮູບແບບ OSV ແລະການເຊື່ອມຕໍ່ກັບ patch ຫຼືຄໍາຫມັ້ນສັນຍາທີ່ລົບລ້າງຄວາມອ່ອນແອ. ໃນຮູບແບບປະຈຸບັນຂອງມັນ, ມັນສະຫນັບສະຫນູນການປຸງແຕ່ງຄໍາຫມັ້ນສັນຍາໃນ googlesource.com ແລະ git.codelinaro.org repositories, ແຕ່ການສະຫນັບສະຫນູນສໍາລັບການບໍລິການອື່ນໆສາມາດຖືກເພີ່ມໄດ້ຢ່າງງ່າຍດາຍໂດຍການເຊື່ອມຕໍ່ຕົວຈັດການລະຫັດ.

ເຄື່ອງກວດຈັບວິເຄາະລະຫັດໃນບ່ອນເກັບຂໍ້ມູນທີ່ລະບຸໄວ້ ແລະ ກຳນົດວ່າມັນມີການແກ້ໄຂທີ່ໄດ້ອະທິບາຍໄວ້ໃນລາຍເຊັນທີ່ສະໜອງໃຫ້ຫຼືບໍ່. ການຈັດຕັ້ງປະຕິບັດແມ່ນອີງໃສ່ອັລກໍຣິທຶມສຳລັບການປັບປຸງລາຍເຊັນອັດຕະໂນມັດ ແລະ ການວິເຄາະຮູບແບບຫຼາຍຮູບແບບທີ່ສະເໜີໃນໂຄງການຄົ້ນຄວ້າ ReDeBug ແລະ VUDDY. ໃນ PC ທີ່ທັນສະໄໝທີ່ມີ CPU 16-core, ການສະແກນຕົ້ນໄມ້ແຫຼ່ງຂໍ້ມູນຂອງແພລດຟອມ. Android ການໃຊ້ຖານຂໍ້ມູນ OSV ທີ່ມີຂໍ້ມູນກ່ຽວກັບຊ່ອງໂຫວ່ຫຼາຍກວ່າ 2000 ຊ່ອງໂຫວ່ໃຊ້ເວລາ 10-20 ນາທີ. ບົດລາຍງານທີ່ໄດ້ຮັບລາຍຊື່ຊ່ອງໂຫວ່ທີ່ອາດຈະບໍ່ໄດ້ຮັບການແກ້ໄຂ ແລະ ລິ້ງໄປຫາສະຖານທີ່ລະຫັດທີ່ກ່ຽວຂ້ອງ, ຕົວລະບຸ CVE ແລະ ການແກ້ໄຂ. ອີງຕາມສະຖິຕິທີ່ເກັບກຳມາໃນໄລຍະສອງປີຂອງການນຳໃຊ້ Vanir ທີ່ Google, ອັດຕາການກວດພົບທີ່ບໍ່ຖືກຕ້ອງແມ່ນ 2.72%.

ຂໍ້ໄດ້ປຽບຂອງເຄື່ອງມືທີ່ສະເຫນີ:

• ຄວາມສາມາດໃນການລະບຸຊ່ອງໂຫວ່ທີ່ບໍ່ໄດ້ຮັບການແກ້ໄຂໃນ forks, ການດັດແປງ ແລະ ການຢືມລະຫັດຂອງພາກສ່ວນທີສາມທີ່ບໍ່ກ່ຽວຂ້ອງໂດຍກົງກັບໂຄງການຫຼັກ. ໃນສະພາບການ Android ເຄື່ອງມືນີ້ສາມາດໃຊ້ເພື່ອກວດສອບການນຳໃຊ້ການແກ້ໄຂໃນທົ່ວແພລດຟອມຕ່າງໆ Android, ພັດທະນາໂດຍຜູ້ຜະລິດອຸປະກອນ OEM.
• ດໍາເນີນການກວດສອບພຽງແຕ່ອີງໃສ່ການວິເຄາະລະຫັດທີ່ມີຢູ່ແລ້ວ, ໂດຍບໍ່ມີການອ້າງອີງເຖິງ metadata ເຊັ່ນ: ຈໍານວນສະບັບ, commit history ແລະ SBOM (Software Bill Of Materials).
• ສະຫນັບສະຫນູນການຜະລິດລາຍເຊັນອັດຕະໂນມັດໂດຍນໍາໃຊ້ຂໍ້ມູນກ່ຽວກັບຄວາມອ່ອນແອທີ່ປາກົດຢູ່ໃນແຫຼ່ງສາທາລະນະແລະແຜ່ນທີ່ເຜີຍແຜ່ໂດຍຜູ້ຮັກສາ.
• ການປະຕິບັດການກວດສອບທີ່ສູງຂຶ້ນໂດຍອີງໃສ່ການວິເຄາະລະຫັດແຫຼ່ງຄົງທີ່ເມື່ອທຽບກັບເຄື່ອງມືສໍາລັບການວິເຄາະແບບເຄື່ອນໄຫວແລະການກວດສອບການປະກອບຄູ່.
• ຄວາມພຽງພໍຂອງຕົວເອງແມ່ນຄວາມສາມາດໃນການນໍາໃຊ້ໂຄງສ້າງພື້ນຖານໃນລະບົບຂອງທ່ານເອງໂດຍບໍ່ຕ້ອງໃຊ້ການບໍລິການພາຍນອກ.
• ມີຖານຂໍ້ມູນລາຍເຊັນທີ່ກຽມພ້ອມ ແລະ ທັນສະໄໝ, ສະໜັບສະໜູນໂດຍທີມງານ Google Android ທີມງານຮັກສາຄວາມປອດໄພ.
• ສະ​ຫນັບ​ສະ​ຫນູນ​ສໍາ​ລັບ​ການ​ເຊື່ອມ​ຕໍ່​ກັບ​ການ​ເຊື່ອມ​ໂຍງ​ຢ່າງ​ຕໍ່​ເນື່ອງ​ແລະ​ການ​ຈັດ​ສົ່ງ (CI / CD​) ລະ​ບົບ​. ຄວາມເປັນໄປໄດ້ຂອງການເຊື່ອມໂຍງກັບໂຄງການອື່ນໆໂດຍໃຊ້ Vanir ໃນຮູບແບບຂອງຫ້ອງສະຫມຸດ Python.
• ຄວາມສາມາດໃນການປັບລະບົບສໍາລັບວຽກງານທີ່ບໍ່ກ່ຽວຂ້ອງກັບຄວາມອ່ອນແອ, ສໍາລັບການຍົກຕົວຢ່າງ, ການກວດສອບການໂຄນລະຫັດຫຼືການນໍາໃຊ້ລະຫັດອະນຸຍາດໃນໂຄງການອື່ນໆ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru