マジセミドライブ
ウェビナー関連のニュースやITサービス&ツールの最新情報を随時配信します。
OSS情報
2020.01.01
【OSS情報アーカイブ】OSS-Fuzz


※当記事に記載されている情報は、古くなっている場合があります。オフィシャルサイトで最新情報をご確認ください。
コンテンツ
「OSS-Fuzz」とは
基本情報
概要
OSS-Fuzz(オーエスエス ファズ)とは、Google製のオープンソースソフトウェア向け継続的ファズテストツールです。複数ツールを組み合わせて「ファジング手法+分散実行」によりソフトウェア脆弱性を検出します。
「ファジング(ファズテスト)」とは
「ファジング(ファズテスト)」とは、ソフトウェアの不具合(脆弱性)を発見するためのテスト手法の1つです。
検査対象のソフトウェアに予測不可能な入力データ(ファズ:fuzz)を入力し、意図的に例外を発生させ、その応答/挙動を監視することで脆弱性を検出する検査手法です。
基本説明
OSS-Fuzzは、ファジングを機械的に実行するためのファズテストツールです。
「最新ファジングテクニック」と「スケーラブル分散実行」を組み合わせることで、オープンソースソフトウェアを安全/安定にすることを目指しています。
OSS-Fuzzにより、オープンソースソフトウェアに対する大規模脆弱性テストを行うことができるようになり、安定した高品質なソフトウェア開発に寄与するツールとして期待されています。
経緯
OSS-Fuzzは、Google+Linux Foundationの「Core Infrastructure Initiative」で開発が行われています。「Core Infrastructure Initiative」は、インターネット基盤ソフトウェア(OpenSSL/OpenSSH/NTPDなど)の開発支援を行う協業プロジェクトです。
2016年12月、GoogleはOSS-Fuzzのオープンソース発表を行いました。
主な特徴
拡張性のあるファジング分散実行環境
OSS-Fuzzは、さまざまな「ファジングエンジン」「サニタイザ」などを組み合わせて、セキュリティ脆弱性/論理的バグなどを検出しようとしています。
OSS-Fuzzには、汎用ファジングエンジン「AFL」「libFuzzer」や、サニタイザ「AddressSanitize」などが実装されています。これらは、GoogleがChromeブラウザのコンポーネント脆弱性テストに使用しています。
また、分散型ファジングインフラ「ClusterFuzz」を利用して、拡張性のある分散実行環境を実現しています。
検出バグ種類
検出できるバグ種類には次のようなものがあります。
・バッファオーバーフロー
・整数オーバーフロー
・セキュリティ脆弱性(Use-After-Freeなど)
・メモリリーク
・NULLポインタ値参照
・論理上のバグ(場合によっては)
バグ検出オペレーション
OSS-Fuzzに参加するオープンソースプロジェクトでバグが発見された場合のオペレーションです。
1.ClusterFuzzがバグを検出
2.ClusterFuzzがOSS-Fuzzのイシュートラッカーに報告
3.プロジェクトオーナーにバグレポートが通知される
4.プロジェクトがバグを修正
5.ClusterFuzzが自動的に修正を確認し、コメントを加えてイシューをクローズ
バグ情報開示ガイドラインにより、「OSS-Fuzzトラッカーで新たに報告されたバグには90日間の非開示期間を設ける」とされています。
対応言語
当初対応しているプログラミング言語は、C/C++です。
同様製品
同様な機能を提供する製品として、次のようなものがあります。
オープンソース製品:「Vuls」「OWASP Zed Attack Proxy(ZAP)」など。
導入事例
OSS-Fuzzは「OpenSSL」「JSON」「Node.js」「PostgreSQL」「SQLite3」「ffmpeg」などのプロジェクトで利用されており、「1週間に最大4兆回のテストケースを回している」としています。
ライセンス情報
OSS-Fuzzのライセンスは「Apache License Version 2.0」です。このライセンスに従うことを条件として、ソースコードの改変と公開が許可されています。
ダウンロード
※定期的にメンテナンスを実施しておりますが、一部情報が古い場合がございます。ご了承ください。
この記事のタグ一覧
フリーワード検索
カテゴリー一覧
アクセスランキング
- 🏆ランク1位🏆
【無料で使える】「 OCR 」ツールまとめ - 🏆ランク2位🏆
【無料で使える】「 プロジェクト管理 」ツールまとめ - 🏆ランク3位🏆
【無料で使える】「 グループウェア 」まとめ - 🏆ランク4位🏆
【無料で使える】「 翻訳 」ツールまとめ - 🏆ランク5位🏆
【OSS情報アーカイブ】SonarQube - 🏆ランク6位🏆
【AIツール実験室】画像生成AIツール「 Emi 」(前編) - 🏆ランク7位🏆
【無料で使える】「 ドキュメント管理 」ツールまとめ - 🏆ランク8位🏆
【無料で使える】「 バックアップ 」ツールまとめ - 🏆ランク9位🏆
【ツール紹介】無料オープンソース「 ビデオ監視 ツール 」まとめ3選 - 🏆ランク10位🏆
【ChatGPT使ってみる実験室】 WordPress関数を作って記事リストを出力