Open Source im professionellen Einsatz

OSS-Fuzz-Projekt mit 4 Billionen Fuzzing-Tests pro Woche

02.12.2016

Google startet zusammen mit der Core Infrastructure Initiative (CII) der Linux-Foundation OSS-Fuzz. Das Projekt bietet "continuous fuzzing" für ausgewählte Open-Source-Projekte an.

243

Weil Buffer und Integer Overflows, Bad Casts und Use-after-Free-Schwächen ernsthafte Auswirkungen auf die globale IT-Infrasstruktur haben können, wollen Google und die CII im OSS-Fuzz-Projekt bestimmte Open-Source-Software künftig automatisch Fuzzing-Tests unterziehen. Selbst für erfahrene Programmierer seien solche Probleme oft schwer zu finden. Fuzzing Tests sollen sie mit zufällig erzeugten Eingaben schneller aufspüren.

OSS-Fuzz will laut der Ankündigung moderne Fuzzing-Techniken in einer verteilten Umgebung ausführen. Es kombiniert verschiedene Fuzzing Engines wie Libfuzzer mit Sanitizern wie Address-Sanitizer und stellt mit Cluster-Fuzz zugleich eine umfassende und verteilte Ausführungsumgebung bereit. Erste Tests am Beispiel der Freetype-Bibliothek seien erfolgreich, so habe man recht schnell einen mit neuem Code eingebauten Heap Overflow entdeckt.

OSS-Fuzz informiert in diesem Fall die zuständigen Entwickler, die den Fehler bereinigen, dann bestätigt das System, ob der Fix funktioniert. OSS-Fuzz habe bereits 150 Bugs in weit verbreiteten Open-Source-Programmen gefunden, eine Liste der verifizierten Schwachstellen lässt sich online nachlesen.

OSS-Fuzz will Open-Source-Projekte automatischen Fuzzing-Tests unterziehen.

Google hofft, dass Fuzzing zukünftig zu den automatischen Tests in der Open-Source-Entwicklung führt und dabei hilft, Fehler schneller aufzuspüren und zu beheben. Die OSS-Fuzz-Infrastruktur befindet sich noch in der Betaphase, überprüft aber laut Google bereits jetzt rund 4 Billionen Testfälle in der Woche. Wer glaubt, sein Projekt sei ein geeigneter Kandidat für das automatisch Fuzzing, kann sich bei OSS-Fuzz bewerben. Voraussetzungen sind, dass das Projekt viele Nutzer hat und kritisch für die globale IT-Infrastruktur ist.

Ähnliche Artikel

comments powered by Disqus

Stellenmarkt

Artikelserien und interessante Workshops aus dem Magazin können Sie hier als Bundle erwerben.