O OSTIF (Open Source Technology Improvement Fund), criado para aumentar a segurança de projetos abertos, anunciou a conclusão da auditoria independente do código do projeto LLVM. O trabalho foi realizado pela empresa inglesa Ada Logics. Durante o processo, foi restaurado o teste que havia sido interrompido há mais de um ano no OSS-Fuzz. A cobertura do código, envolvida em fuzzing, aumentou de 1,1 para 2,4 milhões de linhas de código. Além disso, as ferramentas usadas para fuzzing foram ampliadas, e o número de motores de fuzzing aplicados aumentou de 12 para 15.
Como resultado, foram identificados 12 novos problemas na base de código do LLVM, dos quais 8 foram causados por erros que levaram à corrupção de memória. Seis das vulnerabilidades identificadas resultaram em estouros de buffer, 2 em acesso à memória já liberada, 3 em desreferenciação de ponteiros nulos e 1 em leitura fora da área do buffer alocado.
Fonte: opennet.ru
