Google hat die Veröffentlichung von Vanir, einem neuen Open-Source-Sicherheits-Patch-Validierungstool, angekündigt. Es ist für Android-Plattform-Entwickler konzipiert und hilft ihnen, fehlende Sicherheits-Patches in ihrem eigenen Plattform-Code schnell zu identifizieren. Vanir verwendet statische Analyse auf Quellcode-Basis, um Ziel-Quellcode mit bekannten schädlichen Code-Mustern zu vergleichen. Es bietet eine skalierbare und nachhaltige Lösung für die Adoption und Validierung von Sicherheits-Patches. Das Tool unterstützt C/C++- und Java-Ziele und deckt 95% der Android-Kernel- und Userspace-CVEs mit öffentlichen Sicherheits-Patches ab. Vanir ist vollständig Open-Source unter der BSD-3-Lizenz, was eine einfache Integration in kontinuierliche Build- oder Testketten und Anpassung an andere Ökosysteme ermöglicht. Seit seiner frühen Entwicklung wurde Vanir in Googles Build-System integriert, wobei es gegenüber über 1.300 Schwachstellen getestet wurde und internen Teams über 500 Stunden an Patch-Fix-Zeit einsparte. Vanir ist nun für die öffentliche Nutzung verfügbar und kann auf github.com/google/vanir abgerufen werden.