不正データを与えてOSSの脆弱性をあぶり出す「ファジング」とは？ Googleが事例発表：メモリ破壊タイプの脆弱性以外にも役立つ

GoogleはOSS向けファジングサービス「OSS-Fuzz」の事例を発表した。「TinyGLTF」プロジェクトの重大な脆弱性を発見できた。これまで以上に広範な脆弱性を発見する能力がファジングツールにあるのだという。

[＠IT]

　Googleは2022年9月8日（米国時間）、オープンソースソフトウェア（OSS）向けファジングサービス「OSS-Fuzz」の事例を発表した。「TinyGLTF」プロジェクトの重大な脆弱（ぜいじゃく）性（CVE-2022-3008）を発見したことだ。ファジングツールにはこれまで以上に広範な脆弱性を発見する能力があるのだという。

　ファジングとは、ソースコードを直接解析するのではなく、極端に長い文字列や不正な形式の値などさまざまな入力データを与えてコードを実行し、意図的に予期せぬ動作やクラッシュを引き起こすテスト手法だ。

　OSS-Fuzzはオープンソースプロジェクト向けにファジングツール（ファザー）を実行し、検出されたバグを非公開で開発者に知らせる無償サービスだ。約700の重要なオープンソースプロジェクトにバグがないかどうか、定期的にチェックしている。Googleが開発し、オープンソースコミュニティーと共に提供している。

この脆弱性を発見したことにはどのような意味があるのか