🥇गुगलने अनपॅच्ड भेद्यता शोधण्यासाठी एक स्थिर विश्लेषक, वानिर प्रकाशित केले

गुगलने 'व्हॅनिर' (Vanir) नावाचा एक नवीन ओपन-सोर्स प्रकल्प सादर केला आहे, जो कोडमधील असुरक्षितता दूर करणाऱ्या न लागू केलेल्या पॅचेसची आपोआप ओळख पटवण्यासाठी एक स्टॅटिक ॲनालायझर विकसित करतो. व्हॅनिर ज्ञात असुरक्षितता आणि त्या दूर करण्यासाठीच्या पॅचेसच्या सिग्नेचर डेटाबेसचा वापर करतो. गुगलने जुलै २०२० पासून असाच एक डेटाबेस सांभाळला आहे, ज्यामध्ये प्लॅटफॉर्म-संबंधित प्रकल्पांमधील ९५% असुरक्षिततांचा समावेश आहे. Androidगाभा समाविष्ट करून Linuxसध्या, C, C++ आणि Java साठी सोर्स कोड रिव्ह्यू समर्थित आहे. Vanir हे C++ आणि Python मध्ये लिहिलेले असून ते BSD लायसन्स अंतर्गत वितरित केले जाते.

या प्रकल्पात दोन भाग आहेत - एक सिग्नेचर जनरेटर आणि मिस्ड पॅच डिटेक्टर. जनरेटर OSV फॉरमॅटमधील भेद्यतेच्या वर्णनावर आधारित निराकरणाची अनुपस्थिती ओळखण्यासाठी आणि पॅच किंवा कमिटची लिंक जे असुरक्षितता काढून टाकते ते ओळखण्यासाठी स्वाक्षरी तयार करतो. सध्याच्या स्वरूपात, ते googlesource.com आणि git.codelinaro.org रेपॉजिटरीजमध्ये प्रक्रिया कमिटांना समर्थन देते, परंतु कोड पुल हँडलर कनेक्ट करून इतर सेवांसाठी समर्थन सहजपणे जोडले जाऊ शकते.

डिटेक्टर निर्दिष्ट रिपॉझिटरीमधील कोड पार्स करतो आणि त्यात दिलेल्या सिग्नेचरमध्ये वर्णन केलेल्या दुरुस्त्या आहेत की नाही हे ठरवतो. याची अंमलबजावणी ReDeBug आणि VUDDY या संशोधन प्रकल्पांमध्ये प्रस्तावित केलेल्या स्वयंचलित सिग्नेचर सुधारणा आणि एकाधिक पॅटर्न विश्लेषणासाठीच्या अल्गोरिदमवर आधारित आहे. १६-कोर सीपीयू असलेल्या आधुनिक पीसीवर, प्लॅटफॉर्मच्या सोर्स ट्रीला स्कॅन केले जाते. Android २,००० हून अधिक असुरक्षिततांची माहिती असलेल्या OSV डेटाबेसचा वापर करण्यास १०-२० मिनिटे लागतात. परिणामी अहवालात संभाव्यतः पॅच न केलेल्या असुरक्षिततांची यादी आणि त्यांच्याशी संबंधित कोड लोकेशन्स, CVE आयडेंटिफायर्स आणि पॅचेसच्या लिंक्स असतात. गूगलमध्ये दोन वर्षांच्या व्हॅनिर वापरादरम्यान गोळा केलेल्या आकडेवारीनुसार, फॉल्स पॉझिटिव्ह दर २.७२% आहे.

Google ने व्हॅनीर प्रकाशित केले, अनपॅच नसलेल्या भेद्यता ओळखण्यासाठी एक स्थिर विश्लेषक

प्रस्तावित साधनांचे फायदे:

मुख्य प्रकल्पाशी थेट संबंधित नसलेल्या तृतीय-पक्षीय फोर्क, बदल आणि कोडच्या उधारीमधील पॅच न केलेल्या असुरक्षितता ओळखण्याची क्षमता. संदर्भात Android या साधनाच्या साहाय्याने विविध प्लॅटफॉर्म प्रकारांवर दुरुस्त्यांची अंमलबजावणी तपासता येते. AndroidOEM डिव्हाइस उत्पादकांनी विकसित केलेले.
आवृत्ती क्रमांक, कमिट हिस्ट्री आणि एसबीओएम (सॉफ्टवेअर बिल ऑफ मटेरिअल्स) यासारख्या मेटाडेटाचा संदर्भ न घेता केवळ विद्यमान कोडच्या विश्लेषणावर आधारित तपासणी करणे.
सार्वजनिक स्त्रोतांमध्ये दिसणाऱ्या भेद्यतेबद्दलची माहिती वापरून स्वाक्षरींच्या स्वयंचलित निर्मितीसाठी आणि देखभालकर्त्यांनी प्रकाशित केलेल्या पॅचसाठी समर्थन.
बायनरी असेंब्लीचे डायनॅमिक विश्लेषण आणि पडताळणीसाठीच्या साधनांच्या तुलनेत स्थिर स्त्रोत कोड विश्लेषणावर आधारित उच्च सत्यापन कार्यप्रदर्शन.
स्वयंपूर्णता म्हणजे बाह्य सेवांचा अवलंब न करता आपल्या स्वतःच्या सिस्टमवर पायाभूत सुविधा तैनात करण्याची क्षमता.
गूगल टीमद्वारे समर्थित, तयार आणि अद्ययावत स्वाक्षरी डेटाबेसची उपलब्धता. Android सुरक्षा पथक.
सतत एकीकरण आणि वितरण (CI/CD) प्रणालीशी जोडण्यासाठी समर्थन. पायथन लायब्ररीच्या स्वरूपात Vanir वापरून इतर प्रकल्पांमध्ये एकत्रीकरणाची शक्यता.
असुरक्षिततेशी संबंधित नसलेल्या कार्यांसाठी सिस्टमला अनुकूल करण्याची क्षमता, उदाहरणार्थ, कोड क्लोनिंग शोधणे किंवा इतर प्रकल्पांमध्ये परवानाकृत कोड वापरणे.

स्त्रोत: opennet.ru

Google ने व्हॅनीर प्रकाशित केले, अनपॅच नसलेल्या भेद्यता ओळखण्यासाठी एक स्थिर विश्लेषक