Outils d'analyse statique du code binaire

L'analyse de la composition des logiciels binaires permet de détecter les vulnérabilités des logiciels tiers présents dans les applications ou les produits.
90% des entreprises utilisent des logiciels tiers dans leurs applications. En outre, une grande partie des applications commerciales achetées intègrent des logiciels tiers. Enfin, les applications développées par des tiers pour le compte d'une entreprise peuvent intégrer des logiciels de tiers.
Une part importante des applications contient des composants présentant un niveau élevé de vulnérabilités connues. Voici quelques-unes des dernières vulnérabilités qui ont causé des problèmes dans l'industrie :
Hearbleed bug (CVE-2014-0160): Vulnérabilité dans la bibliothèque cryptographique OpenSSL
Urgent/11: Vulnérabilité dans la pile TCP/IP développée à l'origine par Interpeak. L'exploitation de la vulnérabilité permettait d'exécuter du code à distance. Elle a eu des répercussions sur des systèmes d'exploitation en temps réel tels que ENEA, Green Hills Integrity, Mentor et Wind River VxWorks.
Ripple20: Vulnérabilité dans la pile TCP/IP. L'exploitation de cette vulnérabilité permet d'exécuter du code à distance. Elle a affecté des produits de HP, Schneider Electric, Intel, Rockwell Automation, Caterpillar, Baxter et bien d'autres.
CodeSentry analyse l'exécutable final au format binaire au lieu du code source qui, dans de nombreux cas, n'est pas disponible. Cette technique est très fiable et réduit considérablement le nombre de faux positifs car elle élimine l'analyse du code désactivé ou du code qui n'est finalement pas présent dans le code objet de l'exécutable.