Статический анализатор Google Vanir для поиска уязвимостей

Google представила открытый проект Vanir – это статический анализатор для автоматического выявления не применённых к коду патчей, устраняющих уязвимости. Vanir использует базу сигнатур с информацией об уязвимостях от Google, которая ведется с июля 2020 года и охватывает 95% уязвимостей в проектах, связанных с Android. Поддерживается код на C, C++ и Java.

Проект состоит из двух частей – генератора сигнатур и детектора пропущенных патчей. Генератор формирует сигнатуру для идентификации отсутствия исправления на основе описания уязвимости в формате OSV и ссылки на патч или коммит, устраняющий уязвимость. Детектор выполняет разбор кода в указанном репозитории и определяет отсутствие в нём исправлений, описанных в предоставленных сигнатурах. Вся процедура проверки на современном 16-ядерном CPU занимает 10-20 минут, уровень ложных срабатываний ниже 3%.

Linux Club