Markt + Trends | Open Source | iX

Datenbank zu OSS-Schwachstellen

Google hat mit Open Source Vulnerabilities (OSV) einen Dienst zum Verwalten von Lücken in Open-Source-Code gestartet. Die OSV-Seite bietet eine API zum Abfragen, ob spezifische Versionen eines Projekts von Bugs betroffen sind. Zum Start verwaltet OSV Schwachstellen, die das ebenfalls von Google stammende Fuzz-Testing-Werkzeug OSS-Fuzz gefunden hat. Später sollen Daten aus Paketmanagern wie NPM für JavaScript und PyPI für Python hinzukommen.

OSS Fuzz hat der Internetriese 2016 gemeinsam mit der Core Infrastructure Initiative entwickelt. Das Tool untersucht Open-Source-Software per Fuzzing auf Schwachstellen. Dabei blickt das Werkzeug anders als bei Unit-Tests oder statischer Codeanalyse nicht auf den Sourcecode, sondern füttert die zu testende Software mit Eingabedaten, die zufällig oder bewusst fehlerhaft oder unvollständig sind. Auf die Weise findet das Fuzzing-Verfahren Fehler, die unter anderem durchrutschen, wenn menschliche Tester nur plausible Daten nutzen. Laut der GitHub-Seite hat OSS Fuzz bisher gut 25000 Bugs in 375 Open-Source-Projekten aufgespürt.