OSS-Fuzz : Fuzzing continu pour les logiciels open source

[Le fuzz testing] est une technique bien connue pour découvrir des erreurs de programmation dans les logiciels. Beaucoup de ces erreurs détectables, comme le [débordement de tampon], peuvent avoir de sérieuses implications en matière de sécurité. Google a trouvé [des milliers] de vulnérabilités de sécurité et de bugs de stabilité en déployant le [fuzzing guidé in-process des composants Chrome], et nous souhaitons désormais partager ce service avec la communauté open source.

En coopération avec la Core Infrastructure Initiative et l'OpenSSF, OSS-Fuzz vise à rendre les logiciels open source courants plus sûrs et plus stables en combinant des techniques modernes de fuzzing avec une exécution distribuée et scalable. Les projets qui ne sont pas admissibles à OSS-Fuzz (par exemple le code fermé) peuvent exécuter leurs propres instances de ClusterFuzz ou ClusterFuzzLite.

Nous prenons en charge les moteurs de fuzzing libFuzzer, AFL++ et Honggfuzz en combinaison avec les Sanitizers, ainsi que ClusterFuzz, un environnement d'exécution de fuzzing distribué et un outil de rapport.

Actuellement, OSS-Fuzz prend en charge le code C/C++, Rust, Go, Python, Java/JVM, JavaScript et Lua. D'autres langages supportés par LLVM peuvent aussi fonctionner. OSS-Fuzz supporte le fuzzing de constructions x86_64 et i386.

Aperçu