PVS-Studio 7.00

Hoy es un día importante: después de 28 lanzamientos de la sexta versión, lanzamos PVS-Studio 7.00, donde la innovación clave es el soporte para el lenguaje Java. Sin embargo, en 2018 se han acumulado muchos otros cambios importantes con respecto a C ++, C #, infraestructura y soporte para estándares de codificación. Por lo tanto, le presentamos una nota que resume los principales cambios ocurridos recientemente en PVS-Studio.

PVS-Studio es una herramienta para detectar errores y vulnerabilidades potenciales en el código fuente de programas escritos en C, C ++, C # y Java. Se ejecuta en Windows, Linux y macOS.

Las capacidades del analizador están bien demostradas por la extensa colección de errores en el código que encontramos durante la verificación de varios proyectos de código abierto.

Comenzaremos con el cambio, debido a que, de hecho, se decidió cambiar el número de versión de 6.xa 7.x. Esto es compatible con el analizador de lenguaje Java, que hemos estado preparando durante mucho tiempo.

Java

Lo más importante en el analizador de Java es que apareció :). Invitamos a los desarrolladores de Java a descargar la herramienta y verificar los proyectos en los que están trabajando.

Hemos puesto a disposición de los usuarios las formas más populares de integrar el analizador en el sistema de ensamblaje:

• Plugin para Maven.
• Plugin para Gradle.
• Plugin para IntelliJ IDEA.

En el caso de utilizar sistemas de ensamblaje autoescritos, es posible ejecutar el analizador directamente enumerando las fuentes y classpath .

Puede encontrar información detallada sobre todos los métodos para iniciar el analizador en la página de documentación " Cómo iniciar PVS-Studio Java ".

No podíamos ignorar la plataforma de control de calidad del código SonarQube, tan popular entre los desarrolladores de Java, por lo que agregamos compatibilidad con el lenguaje Java a nuestro complemento SonarQube .

C, C ++

En 2018, nuestro equipo trabajó activamente en el desarrollo del analizador C ++. Han aparecido muchos diagnósticos nuevos, así como algoritmos mejorados que le permiten recopilar y procesar información recuperada del árbol de sintaxis.

CWE, CERT

Los mensajes del analizador C ++ (como el analizador C #) se clasificaron de acuerdo con la enumeración de debilidad común ( CWE ). CWE es un sistema de clasificación para vulnerabilidades potenciales y confirmadas. Es compatible con la comunidad para identificar problemas de software y crear herramientas automatizadas que se pueden utilizar para identificar y solucionar estos problemas.

Además, los mensajes se han clasificado de acuerdo con el estándar de codificación CERT C y el estándar de codificación CERT C ++. SEI CERT Coding Standards es un conjunto de estándares para escribir software (software) en C, C ++, Java y Perl, desarrollado por el Centro de Coordinación CERT (Centro de Coordinación CERT, CERT / CC) para aumentar la confiabilidad y seguridad del software.

La clasificación de los diagnósticos C y C ++ de acuerdo con estas advertencias permite utilizar PVS-Studio como una solución SAST .

Misra

En 2018, el analizador de código estático PVS-Studio comenzó a clasificar sus advertencias de acuerdo con los estándares MISRA C y MISRA C ++. Gracias al soporte de estos estándares, el analizador ha sido posible usarlo efectivamente para mejorar la seguridad, portabilidad y confiabilidad de los programas para sistemas integrados.

Más detalles: " PVS-Studio: soporte para los estándares de codificación MISRA C y MISRA C ++ ".

El soporte de MISRA se ha vuelto relevante en relación con el desarrollo en el analizador de soporte para diversos sistemas integrados, que se discutirá en la siguiente sección del artículo.

Desarrollo integrado

En 2018, los siguientes fueron compatibles con el analizador PVS-Studio:

• Ventanas IAR Embedded Workbench, compilador C / C ++ para ARM C, C ++
• Windows / Linux Keil µVision, DS-MDK, compilador ARM 5/6 C, C ++
• Windows / Linux Texas Instruments Code Composer Studio, Herramientas de generación de código ARM C, C ++
• Windows / Linux / macOS. GNU Arm Embedded Toolchain, compilador Arm Embedded GCC, C, C ++

Dos notas sobre soporte de sistemas integrados:

1. El analizador de código estático PVS-Studio 6.22 está adaptado para compiladores ARM (Keil, IAR) .
2. PVS-Studio presentó soporte para GNU Arm Embedded Toolchain .

Extensión de anotación personalizada

A veces, los proyectos usan sus propias implementaciones de diversas funciones del sistema, por ejemplo, memcpy , malloc , etc. El analizador es muy bueno en la búsqueda de errores utilizando funciones estándar, pero hasta hace poco era imposible usar dichos algoritmos en el código de usuario. Ahora, usando la anotación V_FUNC_ALIAS, puede hacer coincidir los nombres de sus funciones con las del sistema.

Formato de comentario:

//V_FUNC_ALIAS, implementation:sysf, function:f, namespace:ns, class:c 

• Implementación clave: establece el nombre de una función estándar para la que se define un alias.
• Tecla de función : establece el nombre del alias. La firma de la función cuyo nombre se especifica en esta clave debe coincidir con la firma de la función especificada en la clave de implementación.
• La clase clave es el nombre de la clase. Puede estar ausente
• La clave del espacio de nombres es el nombre del espacio de nombres. Puede estar ausente

Considere un ejemplo:

 //V_FUNC_ALIAS, implementation:memcpy, function:MyMemCpy 

Ahora el analizador manejará las llamadas a la función MyMemCpy de la misma manera que las llamadas a memcpy . Por ejemplo, se emitirá una advertencia V512 para dicho código:

 int buf[] = { 1, 2, 3, 4 }; int out[2]; MyMemCpy (out, buf, 4 * sizeof(int)); // Warning! 

C #

No hubo cambios significativos en el analizador C # este año. Hubo algunas mejoras en los diagnósticos y las correcciones de errores. Los mensajes del analizador C #, como el analizador C ++, se clasificaron según la enumeración de debilidad común ( CWE ). Aquí se proporciona la correspondencia de los diagnósticos de C # con los identificadores de CWE (consulte los diagnósticos con los números 3xxx).

Planeamos volver a un desarrollo más activo del analizador C # en 2019. Está previsto desarrollar nuevos diagnósticos y mejorar el mecanismo de análisis de flujo de datos (Análisis de flujo de datos).

Report Converters

Las utilidades PlogConverter.exe y plog-converter se incluyen en las distribuciones PVS-Studio para Windows y Linux / macOS, respectivamente. El código fuente de estas utilidades también está disponible en GitHub .

Con la llegada de PVS-Studio para Java, rediseñamos el resaltado de código para C, C ++, C # y agregamos Java en formato FullHtml ( para un navegador web ).

Además, para el informe en este formato, se agregó la columna MISRA:

Al igual que el ID de CWE, la columna MISRA es opcional y los investigadores de seguridad de código la incluyen al examinar los resultados del análisis.

SonarQube Plugins

1. Actualización completa

Reescribimos nuestros complementos utilizando la nueva API. Esto permitió agregar nuevas funcionalidades y garantizar la compatibilidad con SonarQube 7.x. La versión mínima admitida ahora es SonarQube 6.7 LTS .

2. PVS-Studio para Java

Se ha agregado soporte de diagnóstico para el lenguaje Java a la nueva versión de complementos. Ahora puede agregar PVS-Studio a otras herramientas de control de calidad de su proyecto Java.

3. Norma MISRA

Recientemente anunciamos soporte para los estándares MISRA C y MISRA C ++. Los nuevos complementos también tienen su soporte. Por ejemplo, se agregó un parámetro (además de CWE):

 sonar.pvs-studio.misra=active 

que incluye agregar el identificador MISRA a las advertencias del analizador:

Independientemente de este parámetro, habrá una búsqueda disponible para las etiquetas misra y pvs-studio # misra en los resultados del análisis. La información sobre el número de alertas MISRA encontradas también se agregó a las métricas, que se discutirán más adelante.

4. Nuevas métricas

En el menú Proyectos -> Su proyecto -> Mide varias métricas de código disponibles, entre las cuales ahora hay información diversa de PVS-Studio:

Para cada una de las métricas, puede crear gráficos y monitorear la dinámica de la apariencia de varios grupos de advertencia del analizador.

4. Transiciones multilínea

Algunos diagnósticos del analizador emiten advertencias en varias líneas del archivo. A veces están muy lejos. En la nueva versión, agregamos transiciones multilínea:

SonarQube también admite transiciones entre diferentes archivos. Más adelante agregaremos tales transiciones para diagnósticos, en los cuales hay un análisis intermodular.

6. Documentación

La documentación ha sufrido grandes cambios. PVS-Studio es un producto multiplataforma y multilingüe, por lo que todos los procesamientos tenían como objetivo escribir instrucciones más generales y comprensibles para trabajar en un sistema en particular.

SAST

Hasta hace poco, en nuestros artículos, posicionamos a PVS-Studio como una herramienta para detectar errores en el código. Al mismo tiempo, casi no consideramos PVS-Studio en el contexto de seguridad. Este año corregimos esta situación y analizamos la herramienta desde el punto de vista de probar la seguridad de las aplicaciones y las prácticas de DevSecOps.

PVS-Studio es una herramienta para pruebas de seguridad de aplicaciones estáticas (Static Application Security Testing, SAST). En otras palabras, el analizador PVS-Studio detecta no solo errores tipográficos, código muerto y otros errores, sino también vulnerabilidades potenciales.

Para la comodidad de los especialistas que utilizarán PVS-Studio como una herramienta SAST, el analizador muestra sus advertencias sobre la enumeración de debilidad común , estándares de codificación SEI CERT . Tablas de cumplimiento de diagnósticos de PVS-Studio a varios estándares:

1. Cumplimiento de CWE
2. Cumplimiento SEI CERT

Este tema se describe con más detalle en el artículo " PVS-Studio como una solución SAST ".

También ofrecemos conocer las publicaciones:

1. ¿Cómo puede ayudar PVS-Studio en la búsqueda de vulnerabilidades?
2. Disparamos en el pie, procesando los datos de entrada .
3. Ofrecemos el analizador PVS-Studio a expertos en seguridad .

PVS-Studio gratis

En la víspera de la celebración del nuevo año 2019, el equipo de PVS-Studio decidió hacer un regalo agradable a todos los contribuyentes de proyectos de código abierto alojados en GitHub o Bitbucket. Se les da la oportunidad de utilizar el analizador estático PVS-Studio de forma gratuita para desarrollar proyectos de código abierto.

Detalles: " PVS-Studio gratuito para quienes desarrollan proyectos de código abierto ".

macOS

En 2018, PVS-Studio aprendió a trabajar bajo el control de macOS. Nuestro equipo dedicó la verificación del núcleo XNU a este evento: " Versión PVS-Studio para macOS: 64 debilidades en el núcleo Apple XNU ".

XNU es el núcleo de los sistemas operativos informáticos desarrollados por Apple y utilizados en la familia de sistemas operativos OS X (macOS, iOS, tvOS, watchOS).

Si desea compartir este artículo con una audiencia de habla inglesa, utilice el enlace a la traducción: Andrey Karpov, Svyatoslav Razmyslov. PVS-Studio 7.00 .