Google heeft een tool open source gemaakt waarmee fabrikanten van Androidtelefoons kunnen controleren of hun toestellen beveiligingsupdates missen. De tool is technisch echter niet beperkt tot Android en kan ook voor andere ecosystemen worden gebruikt. Het verhelpen van kwetsbaarheden binnen Android is een meerlaags proces. Wanneer een beveiligingslek wordt gevonden komen de ontwikkelaars van het Android Open Source Project (AOSP) met patches. Fabrikanten van Androidtelefoons moeten die patches vervolgens aanpassen en testen voor hun toestellen, voordat ze onder hun gebruikers kunnen worden uitgerold.

"Dit proces, hoewel effectief, kan schaalbaarheidsuitdagingen met zich meebrengen, zeker voor fabrikanten die een breed scala aan toestellen beheren en oude modellen met een complexe updategeschiedenis. Ervoor zorgen dat verschillende en aangepaste toestellen met patches zijn gedekt vereist vanwege de handmatige aard van het backporten van patches vaak aanzienlijke inspanningen", aldus het Google Open Source Security Team.

Als oplossing is Vanir ontwikkeld, een tool die broncode-gebaseerde statische analyse toepast om de broncode van een Androidversie met bekende kwetsbare codepatronen te vergelijken. "Vanir is niet afhankelijk van traditionele metadata-gebaseerde validatiemechanismes, zoals versienummers, repository geschiedenis en build configuraties, die gevoelig zijn voor fouten. Deze unieke aanpak laat Vanir de gehele codebase analyseren met volledige geschiedenis, individuele bestanden of zelfs gedeeltelijke codefragmenten", laat het team verder weten.

De tool is vooral bedoeld om het controleren op ontbrekende updates in aangepaste Androidversies van fabrikanten te automatiseren. Het handmatig controleren hierop is tijdsintensief, kostbaar en kan ervoor zorgen dat Androidtelefoons lange tijd kwetsbaar voor bekende beveiligingslekken zijn. Vanir is ontwikkeld als losse applicatie maar ook als Python-library. Daarnaast is het niet beperkt tot het Android-ecosysteem en kunnen gebruikers de tool aanpassen aan het ecosysteem dat zij willen beschermen, aldus Google.