ClusterFuzz

ClusterFuzz ist eine skalierbare Fuzzing-Infrastruktur, die Sicherheits- und Stabilitätsprobleme in Software findet.

Google verwendet ClusterFuzz, um alle Google-Produkte zu fuzzen, sowie als Fuzzing-Backend für OSS-Fuzz.

ClusterFuzz bietet viele Funktionen, die die Integration von Fuzzing in den Softwareentwicklungsprozess eines Projekts nahtlos ermöglichen:

• Hoch skalierbar. Kann auf Clustern beliebiger Größe ausgeführt werden (z. B. läuft die OSS-Fuzz-Instanz auf 100.000 VMs).
• Präzise Deduplizierung von Abstürzen.
• Vollautomatische Fehlermeldung, -triage und -schließung für verschiedene Issue-Tracker (z. B. Monorail, Jira).
• Unterstützt mehrere [abdeckungsgeführte Fuzzing-Engines] (libFuzzer, AFL, AFL++ und Honggfuzz) für optimale Ergebnisse (mit [Ensemble-Fuzzing] und [Fuzzing-Strategien]).
• Unterstützung für [Blackbox-Fuzzing].
• Testfallminimierung.
• Regressionsfindung durch [Bisektion].
• Statistiken zur Analyse der Fuzzer-Leistung und Absturzraten.
• Benutzerfreundliche Webschnittstelle für die Verwaltung und Ansicht von Abstürzen.
• Unterstützung verschiedener Authentifizierungsanbieter mittels Firebase.

Überblick

Dokumentation

Eine ausführliche Dokumentation finden Sie hier.

Erfolge

Stand Februar 2023 hat ClusterFuzz ~27.000 Fehler in Google (z. B. Chrome) gefunden. Darüber hinaus hat ClusterFuzz dabei geholfen, über [8.900] Schwachstellen und [28.000] Fehler in 850 Projekten, die mit OSS-Fuzz integriert sind, zu identifizieren und zu beheben.

Hilfe erhalten

Sie können ein Issue einreichen, um Fragen zu stellen, Funktionen anzufragen oder um Hilfe zu bitten.

Auf dem Laufenden bleiben

Wir werden clusterfuzz-announce(#)googlegroups.com verwenden, um Ankündigungen über ClusterFuzz zu machen.

ClusterFuzzLite

Eine leichtere Version von ClusterFuzz, die auf CI/CD-Systemen läuft, finden Sie unter ClusterFuzzLite.