Abo
  • Services:
Anzeige
Der Graph zeigt die Verbindungen zwischen Fedora-Paketen.
Der Graph zeigt die Verbindungen zwischen Fedora-Paketen. (Bild: Silvio Cesare - foocodechu.com)

Bibliotheken: Automatische Fehlersuche in Linux-Systemen

Der Graph zeigt die Verbindungen zwischen Fedora-Paketen.
Der Graph zeigt die Verbindungen zwischen Fedora-Paketen. (Bild: Silvio Cesare - foocodechu.com)

Der Informatiker Silvio Cesare entwickelt ein System zum Auffinden von unter Linux eingebundenen Bibliotheken. Diese werden dann automatisch nach bekannten Sicherheitslücken und Fehlern durchsucht.

Der australische Informatiker Silvio Cesare hat ein Werkzeug vorgestellt, das automatisch Fehler in eingebundenen Bibliotheken eines Linux-Systems aufspürt, berichtet das SC Magazine. Cesare stellte seine Implementierung und theoretischen Überlegungen auf der Sicherheitskonferenz Ruxcon 2011 in Melbourne vor und veröffentlichte seine Präsentation.

Anzeige

Eingebundene Bibliotheken

In der Erklärung zu seinem Projekt Clonewise schreibt Cesare, dass "Entwickler manchmal Code von anderen Projekten einbinden". Dies führe jedoch dazu, dass zwei Versionen derselben Software existierten und dementsprechend Bugfixes und Sicherheitsupdates in beide eingepflegt werden müssten.

Zwar hätten einige Linux-Distributoren Richtlinien, die eine Codeeinbindung verböten, es gebe aber auch einige Bespiele für solch eine Praxis. Cesare nennt explizit die Zlib-Bibliothek, die wegen ihrer Funktionalität und ihrer Lizenz häufig verwendet wird.

Aufspüren von Fehlern

Das manuelle Auffinden solcher eingebundener Bibliotheken ist sehr zeitaufwendig und Cesare zufolge existieren allein in Debian über 420 solcher Bibliotheken. Das von Cesare entwickelte Tool identifiziert gleichen Code anhand des Dateinamens und des Inhalts. Über Hashes, die mit ssdeep erzeugt wurden, können gleiche Pakete aufgespürt werden. Die Auswertung möglicher Verbindungen geschieht mit Hilfe der Graphen-Theorie.

Der gleichartige Code wird anschließend mit CVEs abgeglichen, um Sicherheitsprobleme aufzufinden. Dadurch fand Cesare fünf angreifbare Pakete in Debian und Fedora, die Bzip2 oder Libtiff nutzten. Auch fand Cesare heraus, dass in Firefox eine Version der Libpng-Bibliothek eingebunden war, die drei Monate lang einen bekannten Fehler enthielt.

Software noch fehlerbehaftet

Die Forschungsarbeit von Cesare befindet sich noch in einer frühen Phase. So erzeuge die Software zurzeit noch zu 90 Prozent falsche Resultate, schreibt SC-Magazine. Das Aufspüren von Überschneidungen sei so dennoch schneller, als es manuell möglich sei. Das Fedora-Projekt nutzt nun die Ergebnisse von Cesare und pflegt eine Datenbank mit den Codeüberschneidungen, Ähnliches gilt für Debian.

Cesare plant, zukünftig auch eine Binäranalyse für Windows durchführen zu können. Der Quellcode seiner Anwendung zum Finden von eingebundenem Code ist auf Github verfügbar.


eye home zur Startseite
Perry3D 23. Nov 2011

Ich muss gestehen, dass ich den Artikel auch nicht ganz verstanden habe. Im Gegensatz zu...

Sicaine 23. Nov 2011

Es geht nicht um Programmierfehler wo die Logik noch nicht richtig implementiert ist...



Anzeige

Stellenmarkt
  1. afb Application Services AG, München
  2. IABG Industrieanlagen-Betriebsgesellschaft mbH, Koblenz, Ottobrunn bei München
  3. KES-Softwareentwicklung, Pforzheim (Home-Office möglich)
  4. PHOENIX CONTACT GmbH & Co. KG, Blomberg


Anzeige
Spiele-Angebote
  1. 6,99€
  2. 2,99€
  3. 59,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Leap Motion und Qualcomm

    Drahtloses VR-Headset mit Hand-Tracking ausprobiert

  2. Sandisk iNand 7350

    WD rüstet Speicher für Smartphones auf

  3. Uncharted 4

    34.000 Animationsphasen für ein Action-Adventure

  4. Aneeda und Dial

    Die Nicht-Smartwatch der Telekom wird wohl nicht fertig

  5. The Legend of Zelda (1986 und 1995)

    Ein Abenteuer-Fundament für die Ewigkeit

  6. Mehr Möbel als Gadget

    Eine Holzfernbedienung für das Smart Home

  7. Der Herr der Ringe

    Schatten des Krieges in Mittelerde angekündigt

  8. Konzeptfahrzeug

    Peugeot Instinct - autonom fahren oder manuell steuern

  9. Später Lesen

    Mozilla übernimmt Hersteller von Pocket

  10. Nokia 3, 5 und 6 im Hands on

    Ein guter Neuanfang ist gemacht



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Trappist-1: Der Zwerg und die sieben Planeten
Trappist-1
Der Zwerg und die sieben Planeten
  1. Weltraumteleskop Erosita soll Hinweise auf Dunkle Energie finden
  2. Astrophysik Ferne Galaxie schickt grelle Blitze zur Erde
  3. Astronomie Vera Rubin, die dunkle Materie und der Nobelpreis

Limux: Die tragische Geschichte eines Leuchtturm-Projekts
Limux
Die tragische Geschichte eines Leuchtturm-Projekts
  1. Limux München prüft Rückkehr zu Windows
  2. Limux-Projekt Windows könnte München mehr als sechs Millionen Euro kosten
  3. Limux Münchner Stadtrat ignoriert selbst beauftragte Studie

Wacoms Intuos Pro Paper im Test: Weg mit digital, her mit Stift und Papier!
Wacoms Intuos Pro Paper im Test
Weg mit digital, her mit Stift und Papier!
  1. Pro x2 G2 HPs Surface-Konkurrent bekommt neue Hardware
  2. Wacom Brainwave Ein Graph sagt mehr als tausend Worte
  3. Canvas Dells Stift-Tablet bedient sich bei Microsoft und Wacom

  1. Re: Super toll, und dann wieder USB 2.0...

    TrollNo1 | 11:17

  2. Re: 90 Tage sind auch genug Zeit

    1ras | 11:15

  3. Re: Ich will auch!

    ArcherV | 11:15

  4. Re: Mehrere Betriebssysteme...

    Berner Rösti | 11:12

  5. Re: Hardware Tasten Vorteile?

    tha_specializt | 11:12


  1. 10:30

  2. 10:05

  3. 10:00

  4. 09:54

  5. 09:15

  6. 08:03

  7. 07:54

  8. 07:44


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel