Firma Coverity, spe­cja­li­zu­jąca się w poszu­ki­wa­niu luk bez­pie­czeń­stwa w kodzie źródło­wym pro­gra­mów, która już w prze­szło­ści badała pro­gramy opensource’owe, tym razem przyj­rzała się kodowi sys­temu Android.

Specjaliści zna­leźli w jądrze Androida 359 dziur, z czego 88 oce­niono jako wysoce nie­bez­pieczne, a 271 jako śred­nio niebezpieczne.

Wśród wysoce nie­bez­piecz­nych dziur 20 zwią­za­nych jest z moż­li­wo­ścią zakłó­ce­nia pracy pod­sys­temu pamięci, 29 umoż­li­wiają napast­ni­kowi uzy­ska­nie dostępu do pamięci, 11 doty­czy wycie­ków w pamięci, a 28 — nie­za­ini­cja­li­zo­wa­nych zmiennych.

Złą wia­do­mo­ścią dla Google’a, twórcy Androida, jest fakt, że mimo iż bazuje on na linuk­so­wym jądrze, to w kom­po­nen­tach spe­cy­ficz­nych dla Androida odse­tek błę­dów jest wyż­szy, niż w Linuksie. Z kolei dobra infor­ma­cja jest taka, że śred­nia dziur w Androidzie jest i tak niż­sza od śred­niej w prze­my­śle IT i wynosi 0,47 luki na 1000 linii kodu.

Jeśli weź­miemy pod uwagę kod spe­cy­ficzny dla Androida to śred­nia ta wzra­sta to 0,78 dziury na 1000 linii.

Specjaliści Coverity zauwa­żają przy tym, że Android zmaga się tutaj z podob­nym pro­ble­mem, jaki ma całe środo­wi­sko opensource’owe. Filozofia two­rze­nia tego opro­gra­mo­wa­nia powo­duje, że odpo­wie­dzial­ność się roz­mywa i nie wia­domo, do kogo należy popra­wia­nie błę­dów. Czy powi­nien się zająć tym Google, czy deve­lo­per, który jest auto­rem kon­kret­nego kodu, czy też np. pro­du­cent sprzętu, ofe­ru­jący Androida.

Autor: Mariusz Błoński

Źródło: CNET ; KopalniaWiedzy