Исследователь нашёл n-day в устаревших библиотеках AOSP external/

Независимый исследователь Владимир Гареница (MalwareDante) описал платформу фаззинга на 2-ядерном VPS, нацеленную на вендорные форки библиотек в AOSP external/. В external/libexif стоит версия 0.6.21 2015 года, в external/flac — 1.4.3 против upstream 1.5.0 с проверками переполнений. Из 778 артефактов и 97 сигнатур пока только UB-класс, реальных повреждений памяти нет; один баг — libde265#546.

• external/libexif в AOSP — 0.6.21 от июня 2015 года, 11 лет без обновлений
• external/flac — 1.4.3 против upstream 1.5.0 с защитой от переполнений
• 778 артефактов и 97 сигнатур: только UB-класс, повреждений памяти нет
• Найден незакрытый баг libde265#546 в релизе 1.1.2 и git master