Het OSTIF (Open Source Technology Improvement Fund), opgericht om de beveiliging van open-sourceprojecten te versterken, heeft de afronding aangekondigd van een onafhankelijke audit van de code van het LLVM-project. Dit werk is uitgevoerd door het Engelse bedrijf Ada Logics. Tijdens de uitgevoerde werkzaamheden werd het meer dan een jaar geleden onderbroken testproces in OSS-Fuzz hersteld. De dekking van de codebasis die betrokken is bij fuzzing-tests is verhoogd van 1,1 naar 2,4 miljoen regels code. Daarnaast is de toolkit die voor fuzzing-tests wordt gebruikt uitgebreid, en het aantal toegepaste fuzzing-engines is gestegen van 12 naar 15.
In de codebasis van LLVM zijn uiteindelijk 12 nieuwe problemen ontdekt, waarvan 8 werden veroorzaakt door fouten die leidden tot geheugenbeschadiging. 6 van de ontdekte kwetsbaarheden leidden tot buffer overflow, 2 tot toegang tot al vrijgegeven geheugen, 3 tot dereferencatie van nul-pointer en 1 tot lezen uit een gebied buiten de toegewezen buffer.
Bron: opennet.ru
