ファズテストは、ソフトウェアのプログラミングエラーを発見するためのよく知られた手法です。検出可能なエラーの多くは、バッファオーバーフローのように、深刻なセキュリティ上の影響を及ぼす可能性があります。Googleは、Chromeコンポーネントのガイド付きインプロセスファジングを展開することで、数千件のセキュリティ脆弱性と安定性バグを発見してきました。そして、このサービスをオープンソースコミュニティと共有したいと考えています。
Core Infrastructure InitiativeとOpenSSFの協力のもと、OSS-Fuzzは、最新のファジング技術とスケーラブルな分散実行を組み合わせることで、一般的なオープンソースソフトウェアのセキュリティと安定性を向上させることを目指しています。OSS-Fuzzの対象外のプロジェクト（例：クローズドソース）は、独自のClusterFuzzまたはClusterFuzzLiteインスタンスを実行できます。
当プロジェクトは、libFuzzer、AFL++、HonggfuzzのファジングエンジンをSanitizersと組み合わせてサポートしており、さらに分散ファザー実行環境およびレポートツールであるClusterFuzzも提供しています。
現在、OSS-FuzzはC/C++、Rust、Go、Python、Java/JVM、JavaScript、Luaのコードをサポートしています。LLVMがサポートする他の言語でも動作する可能性があります。OSS-Fuzzはx86_64およびi386ビルドのファジングをサポートします。
詳しいドキュメントを読んで、OSS-Fuzzの使い方を学んでください。
2025年5月時点で、OSS-Fuzzは1,000のプロジェクト全体で13,000件以上の脆弱性と50,000件以上のバグの特定と修正に貢献しました。
