Dapr june 2023 fuzzing audit report

• 语言: 英语
• 格式: .pdf
• 来源: docs.dapr.io

摘要

本文档详细阐述了CNCF委托Ada Logics对Dapr项目进行的fuzzing审计报告。Dapr在此次审计中首次将fuzzing技术整合到其三个子项目（Dapr Runtime、Dapr Kit和Components-Contrib）中，通过OSS-Fuzz持续集成开发了39个fuzzer。这些fuzzer发现了3个问题，其中2个问题源于第三方库依赖，所有问题已修复。CNCF持续通过fuzzing和安全审计提升其生态系统的安全性，并计划进一步扩展fuzzing覆盖范围，以发现更多漏洞，尤其是在内存安全语言中。

AI总结

2023年6月《Dapr Fuzzing审计报告》总结：
本次由CNCF委托的Dapr fuzzing审计由Ada Logics完成，旨在为Dapr项目构建基础fuzzing测试框架并实现持续改进。Dapr此前未进行过fuzzing测试，Ada Logics通过将Dapr集成到OSS-Fuzz框架，并为其关键API开发39个fuzzer，覆盖了Dapr Runtime、Kit及Components-Contrib三个子项目。测试中发现3个问题，包括1个“索引越界”错误和2个Go标准库中的panic，且所有问题均已修复。3个子项目的测试内容涉及API序列化、GRPC端点、配置获取、MQTT主题添加等关键功能。OSS-Fuzz的持续集成将持续监测Dapr的代码安全性，及时发现潜在问题。CNCF未来将进一步扩大fuzzing覆盖范围，促进可持续测试及社区参与。