I OSS Fuzz-infrastrukturen stöds projekt skrivna i Lua.

Infrastrukturen för kontinuerlig fuzz-testning OSS-Fuzz har lagt till möjligheten att testa projekt skrivna i Lua, utöver de som tidigare stöddes som C/C++, Go, Swift, Rust, Python, JavaScript och Java. Integrationen har genomförts med hjälp av projektet luzer, som utvecklar specialiserade verktyg för fuzz-testning av kod i Lua och Lua-tillägg skrivna i C/C++.

Projektet använder biblioteket libFuzzer och kan användas tillsammans med verktyg som AddressSanitizer, MemorySanitizer, LeakSanitizer, ThreadSanitizer och Undefined Behavior Sanitizer, som möjliggör att identifiera typiska sårbarheter orsakade av buffertöverskridningar, heltalsöverskridningar, åtkomst till oinitialiserade och frigjorda områden, minnesläckor, pekardereferenser och låsningsproblem baserat på problem som upptäckts under fuzz-testning. Projektkoden är tillgänglig under ISC-licensen.

Under arbetet med luzer gås möjliga kombinationer av indata igenom och en rapport om alla upptäckta krascher och o fångade undantag genereras. Vid till exempel granskning av luzer-biblioteket för MsgPack-formatet antirez/lua-cmsgpack upptäcktes att data med många arrayer kan leda till stacköverskridning.

Inom ramen för projektet lunapark tillämpas luzer-verktyget för testning av PUC Rio Lua, spårningskompilatorn LuaJIT, den högpresterande databasstyrningssystem och servern Tarantool-appar, samt för testning av tredjeparts Lua-moduler.

Utvecklare av öppna projekt kan lägga till sina förråd för testning genom att förbereda en mall för fuzz-testning och skicka en särskild begäran genom en pull-begäran. Vid upptäckta fel skickas automatiskt en avisering till utvecklarna och en privat begäran om korrigering skapas (för att förhindra för tidig läckage av information om sårbarheter, skapas biljetten i ett system för felspårning med begränsad åtkomst). OSS Fuzz övervakar statusen för felkorrigering och stänger automatiskt biljetten om den inte längre kan återskapas. Informationen om problemet blir offentligt tillgänglig 7 dagar efter korrigeringen eller 90 dagar efter att felet upptäcktes, om problemet förblir okorrigerat.

Källa: opennet.ru