Google-fuzzer vindt 1000 bugs in opensourceprojecten
Vijf maanden geleden kondigde Google een nieuw project aan om kwetsbaarheden in veelgebruikte opensourceprojecten te vinden dat inmiddels meer dan 1000 bugs in 47 bekende projecten heeft opgeleverd, waaronder 264 potentiële beveiligingslekken.
OSS-Fuzz, zoals het project wordt genoemd, combineert verschillende fuzzing-engines en draait op een grote gedistribueerde fuzzing-infrastructuur, of "robotleger" zoals Google het zelf noemt, die ook wordt gebruikt voor het vinden van kwetsbaarheden in Chrome. Fuzzing is een populaire manier voor het vinden van bugs en kwetsbaarheden in software. Hierbij wordt een programma of een stuk software met allerlei datastromen bestookt, wat vervolgens tot crashes of fouten kan leiden. Die crashes kunnen vervolgens op onbekende beveiligingslekken wijzen.
Via OSS-Fuzz heeft Google sinds december in verschillende belangrijke opensourceprojecten kwetsbaarheden gevonden, zoals FreeType2, FFmpeg, LibreOffice, SQLite, GnuTLS, PCRE2, gRPC, en Wireshark. Opensourceprojecten kunnen zich zelf bij OSS-Fuzz aanmelden, waarna Google de software gaat testen. Als er een bug is gevonden wordt die automatisch aan de opensource-ontwikkelaar gerapporteerd. Als de ontwikkelaar de bug heeft verholpen, wordt dit vervolgens door Google gecontroleerd. 30 dagen nadat de update is gecontroleerd, of 90 dagen nadat de bug is gerapporteerd, wordt het probleem openbaar gemaakt.
Suuure. Maar als dan nauwelijks iemand andermans code gaat doorspitten blijft dit een fabeltje. De meeste mensen blijven gebruikers of admins. De meeste devs zijn weer met hun eigen code bezig.
Wat minder hoog van de toren blazen naar iemand toe die meer dan 25 jaar lang software bouwt kan echt geen kwaad hoor.
Laten we bij de inhoud blijven i.p.v. op basis van emoties dingen gaan verdraaien.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
