Хакер #305. Многошаговые SQL-инъекции
Разработчики системы обеспечения интернет-анонимности Tor объявили о том, что
благодаря анализу, проведенному Coverity, им удалось устранить в своем продукте
ряд ошибок и уязвимостей. В Coverity провели исследование исходных кодов на C,
C++ и Java, в результате чего по состоянию на сентябрь 2008 года обнаружили в
Tor 171 проблему. К декабрю 2008 года разработчикам Tor удалось снизить
количество ошибок до 15, а теперь число багов стало равным нулю. В своем
заявлении об устранении всех недоработок, обнаруженных при сканировании Coverity
Scan, разработчики пояснили, что благодаря программе бесплатного сканирования им
удалось выявить множество недочетов, которые являлись "помарками в схеме
внутреннего тестирования", однако в числе указанных замечаний были и реальные
баги. В их число входили ошибки, которые могли приводить к вылету, и которые
обычным способом было бы достаточно трудно найти и устранить.
Coverity в 2006 году получила финансирование от Министерства национальной
безопасности США в рамках реализации трехлетнего проекта по анализу открытого ПО
на наличие уязвимостей, который в то время был преимущественно направлен на
изучение Linux, веб-сервера Apache, сервера Bind DNS и Firefox. Сам же Tor
разработан для того, чтобы защитить пользователей от анализа их трафика путем
обработки соединений через распределенную сеть серверов.
