• IT-Karriere:
  • Services:

Automatisierte Bugsuche: 1.200 Crashes in Debian

Mit dem automatisierten Tool Mayhem sucht ein Forscherteam nach Bugs und möglichen Sicherheitslücken. Erstes Ergebnis: 1.200 Crash-Bugs in Debian.

Artikel veröffentlicht am , Hanno Böck
Mayhem forscht nach Bugs in Software.
Mayhem forscht nach Bugs in Software. (Bild: Mayhem)

Das Forscherteam von David Brumley von der Carnegie Mellon University hat 1.200 Bugs in Debian-Paketen gefunden, die zu Programmabstürzen führen. Nur wenige sind vermutlich Sicherheitsprobleme. Das Team hat per Debian-Mailingliste um Ratschläge gebeten, wie diese Menge an Fehlerberichten am besten ins Bug-Tracking-System einzutragen ist.

Stellenmarkt
  1. finanzen.de, Berlin
  2. Mediengruppe Pressedruck, Augsburg

Die Fehlerberichte sind das Ergebnis eines Forschungsprojekts der Universität. Dort wurde das Tool Mayhem entwickelt, das automatisiert nach möglichen Abstürzen in Programmen sucht.

"Wir benutzen eine Technik, die sich Symbolic Execution nennt", erklärt Mayhem-Entwickler David Brumley auf Anfrage von Golem.de. "Soweit ich weiß, hat bisher niemand versucht, mit dieser Technik Zehntausende von Programmen zu untersuchen."

Mayhem simuliert den Ablauf von Programmen mit verschiedenen Eingaben durch die Kommandozeile und eingelesene Dateien und versucht dabei, Abstürze im Programm zu provozieren. Dabei arbeitet Mayhem mit Binärdateien und ist somit nicht auf den Quellcode der Programme angewiesen. Mayhem funktioniert mit Linux- und Windows-Programmen.

22.000 Programme getestet, 5.000 Bugs gefunden

Ein Absturz weist oft auf mögliche Sicherheitsprobleme hin. Doch von den gefundenen Bugs ist nur ein geringer Teil sicherheitsrelevant. Insgesamt, so Brumley, habe sein Team bisher etwa 22.000 Programme getestet und darin 5.000 Bugs gefunden. 53 davon seien Buffer Overflows, wovon fünf nach automatisierter Analyse einen Angriffsvektor bieten. Brumley weist allerdings darauf hin, dass die automatisierte Analyse nicht zwingend zuverlässig ist und sich auch hinter den anderen Fehlern Sicherheitsprobleme verbergen könnten.

Eine Veröffentlichung von Mayhem haben die Entwickler vorerst nicht geplant. Vorerst wolle das Team daran arbeiten, mit Hilfe von Mayhem Open-Source-Software robuster zu machen.

Die 1.200 Debian-Bugs sind dabei wohl nur ein erster Schritt. Neben dem Bericht an Debian haben die Mayhem-Entwickler die Fehler an die Autoren der betroffenen Programme selbst gesendet. Details wollen sie erst veröffentlichen, nachdem die Autoren zwei Wochen Zeit hatten, zu beurteilen, ob es sich möglicherweise um sicherheitsrelevante Fehler handelt. Bislang wurde lediglich eine Liste der betroffenen Pakete veröffentlicht.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)

nmSteven 03. Jul 2013

Die noch nicht gefundenen 1000 sind das

muhkuhmuhkuh 03. Jul 2013

Ja. Leider wissen die allermeisten Leute nicht, mit was sich Forschung in der Informatik...

The-Master 02. Jul 2013

+2!

IT.Gnom 02. Jul 2013

Das wäre auf jeden Fall interessanter. Aber ich denke dann schaltet MS die NSA ein. (Oh...


Folgen Sie uns
       


TES Morrowind (2002) - Golem retro_

Eine gigantische Spielwelt umgeben von Pixelshader-Wasser: The Elder Scrolls 3 Morrowind gilt bis heute als bester Teil der Serie. Trotz sperriger Bedienung war Morrowind dank der dichten Atmosphäre, der spielerischen Freiheit und der exzellenten Grafik ein RPG-Meilenstein.

TES Morrowind (2002) - Golem retro_ Video aufrufen
Mr. Robot rezensiert: Domo Arigato, Mr. Robot!
Mr. Robot rezensiert
Domo Arigato, Mr. Robot!

Wie im Achtziger-Klassiker Mr. Roboto von Styx hat auch Elliot in Mr. Robot Geheimnisse. Die Dramaserie um den Hacker ist nicht nur wegen Rami Malek grandios. Sie hat einen ganz eigenen beeindruckenden visuellen Stil und zeigt Hacking, wie es wirklich ist. Wir blicken nach dem Serienfinale zurück.
Eine Rezension von Oliver Nickel und Moritz Tremmel

  1. Openideo-Wettbewerb Die fünf besten Hacker-Symbolbilder sind ausgewählt
  2. Cyberangriffe Attribution ist wie ein Indizienprozess
  3. Double Dragon APT41 soll für Staat und eigenen Geldbeutel hacken

Europäische Netzpolitik: Die Rückkehr des Axel Voss
Europäische Netzpolitik
Die Rückkehr des Axel Voss

Elektronische Beweismittel, Nutzertracking, Terrorinhalte: In der EU stehen in diesem Jahr wichtige netzpolitische Entscheidungen an. Auch Axel Voss will wieder mitmischen. Und wird Ursula von der Leyen mit dem "Digitale-Dienste-Gesetz" wieder zu "Zensursula"?
Eine Analyse von Friedhelm Greis

  1. Mitgliederentscheid Netzpolitikerin Esken wird SPD-Chefin
  2. Nach schwerer Krankheit FDP-Netzpolitiker Jimmy Schulz gestorben

Lovot im Hands-on: Knuddeliger geht ein Roboter kaum
Lovot im Hands-on
Knuddeliger geht ein Roboter kaum

CES 2020 Lovot ist ein Kofferwort aus Love und Robot: Der knuffige japanische Roboter soll positive Emotionen auslösen - und tut das auch. Selten haben wir so oft "Ohhhhhhh!" gehört.
Ein Hands on von Tobias Költzsch

  1. Orcam Hear Die Audiobrille für Hörgeschädigte
  2. Viola angeschaut Cherry präsentiert preiswerten mechanischen Switch
  3. Consumer Electronics Show Die Konzept-Messe

    •  /