Software::Entwicklung
ClusterFuzz im Quellcode veröffentlicht
Google hat die Quellen des Analysewerkzeugs ClusterFuzz unter die Apache Lizenz gestellt. Mit Clusterfuzz lassen sich automatisiert Fehler in Quellen mittels Fuzzing finden.
Google
Fuzzing ist eine weitere Art, Fehler zu finden und Nutzer von ungeahnten Nebenwirkungen von Problemen zu schützen. Unter dem Schlagwort versteckt sich eine Methode, bei der Programme mit Eingaben konfrontiert werden, auf die sie möglicherweise nicht vorbereitet sind, worauf sie fehlerhaft oder sogar mit einem Absturz reagieren. Der Anlass für die Entstehung der mittlerweile zahlreich vorhandener Fuzzer sind Fehler in Anwendungen, die nur schwer mit herkömmlichen Testmethoden aufgespürt werden und die von den Entwicklern nicht reproduziert werden konnten.
So hatte beispielsweise auch Google Ende 2016 ein eigenes Projekt vorgestellt, das seitens des Unternehmens für die hauseigenen Tests genutzt wird. OSS-Fuzz, wie das Tool genannt wird, wurde nach früheren Angaben von Google zusammen mit der Core Infrastructure Initiative der Linux Foundation entwickelt und später im Quellcode veröffentlicht. Zur Steuerung der Tests wird ein Rechnercluster namens ClusterFuzz eingesetzt. Dieser Cluster konnte bei der Vorstellung vier Billionen Tests pro Woche ablaufen lassen und hat mittlerweile zahlreiche Fehler in verschiedenen Software-Projekten gefunden. Laut einer aktuellen Auswertung wurden in knapp 160 Projekten mittlerweile um die 11.000 Fehler gefunden. Hinzu kommen noch rund 16.000 Fehler, die das System alleine in Chrome fand.
Wie Google nun bekannt gab, steht jetzt auch ClusterFuzz im Quellcode bereit. Laut Aussagen des Unternehmens wird die Fuzzing-Infrastruktur mittlerweile auf mehr als 25.000 Systemen eingesetzt und ist in der Lage, automatisch gefundene Fehler zu melden und behobene Bugs zu schließen. Die Steuerung des Systems kann in einer webbasierten Oberfläche erfolgen. ClusterFuzz selbst setzt auf OSS-Fuzz und unterstützt unter anderem libFuzzer, AFL sowie Blackbox-Fuzzing.
Nutzer, die einen eigenen Dienst aufsetzen oder einfach nur die Technologie studieren wollen, finden die Quellen von ClusterFuzz auf den Servern von GitHub. Das System ist in Python geschrieben und steht unter den Bedingungen der Apache License 2.0.
){kind=small}
