LLVM 安全性團隊透明度報告¶
本頁列出 LLVM 安全性團隊的年度透明度報告。
2021¶
LLVM 安全性團隊 於 2020 年 7 月 10 日由 初始提交 行動建立，該提交描述了團隊的目的及其遵循的流程。團隊的許多流程仍然定義不夠完善，以至於團隊無法良好運作。在 2021 年期間，關鍵流程被充分定義，使團隊能夠相當良好地運作。
我們定義了如何報告安全性問題的詳細資訊，請參閱 2021 年 5 月 20 日的此提交
我們改進了新團隊成員的提名流程，請參閱 2021 年 7 月 30 日的此提交
我們開始撰寫年度透明度報告（您正在此處閱讀 2021 年的報告）。
在 2021 年期間，我們有 2 人離開 LLVM 安全性團隊，並有 4 人加入。
在 2021 年，安全性團隊收到 13 份問題報告，這些報告在 2021 年 12 月 31 日之前公開可見。安全性團隊判定其中 2 份報告為安全性問題
這兩個問題都透過原始碼變更解決：#5 在 clangd/vscode-clangd 中，以及 #11 在 llvm-project 中。沒有為這兩個問題發布專用的 LLVM 版本。
我們相信，隨著這第一份年度透明度報告的發布，安全性團隊現在已實施所有必要的流程，以使團隊能夠如承諾般運作。團隊的流程可以進一步改進，我們也預期在 2022 年將實施進一步的改進。許多潛在的改進最終都會在 LLVM 安全性團隊的每月公開電話會議 上討論。
2022¶
在本節中，我們報告團隊在 2022 年收到的問題，或更早收到但在 2022 年公開的問題。
在 2022 年，llvm 安全性團隊收到 15 個問題，這些問題在本透明度報告撰寫時已公開。
其中 5 個被判定為安全性問題
https://bugs.chromium.org/p/llvm/issues/detail?id=17 報告了 LLVM 中的編譯錯誤，可能導致框架指標和返回位址被覆寫。此問題已修復。
https://bugs.chromium.org/p/llvm/issues/detail?id=19 報告了 libc++ 中 std::filesystem::remove_all 的漏洞。此問題已修復。
https://bugs.chromium.org/p/llvm/issues/detail?id=23 報告了一種新的 Spectre 小工具變體，推測性載入強化 (SLH) 無法緩解。沒有實施 SLH 的擴展來緩解此變體。
https://bugs.chromium.org/p/llvm/issues/detail?id=30 報告了 (C++) 例外處理路徑上缺少記憶體安全保護。已實施許多修復。
https://bugs.chromium.org/p/llvm/issues/detail?id=33 報告了 RETBLEED 漏洞。結果是 clang 成長出新的安全性強化功能 -mfunction-return=thunk-extern，請參閱 https://reviews.llvm.org/D129572。
沒有為上述任何問題發布專用的 LLVM 版本。
2023¶
在本節中，我們報告團隊在 2023 年收到的問題，或更早收到但在 2023 年公開的問題。
其中 9 個被判定為安全性問題
https://bugs.chromium.org/p/llvm/issues/detail?id=36 報告了 https://llvm.dev.org.tw/.git 中存在 .git 資料夾。
https://bugs.chromium.org/p/llvm/issues/detail?id=66 報告了 DockerHub 映像檔中存在 GitHub 個人存取權杖。
https://bugs.chromium.org/p/llvm/issues/detail?id=42 報告了 Armv8.1-m BTI 保護中可能存在的漏洞，涉及大型 switch 語句以及預設情況下的 __builtin_unreachable() 的組合。
https://bugs.chromium.org/p/llvm/issues/detail?id=43 報告了對舊版本 xml2js 的依賴，該版本存在 CVE 漏洞。
https://bugs.chromium.org/p/llvm/issues/detail?id=45 報告了許多依賴項，這些依賴項已報告存在漏洞。
https://bugs.chromium.org/p/llvm/issues/detail?id=46 與問題 43 相關。
https://bugs.chromium.org/p/llvm/issues/detail?id=48 報告了來自 -fexperimental-library 的 std::format 中的緩衝區溢位。
https://bugs.chromium.org/p/llvm/issues/detail?id=54 報告了在使用 libc++ 版本 <=6.0 建置並針對較新 libc++ shared/dylibs 執行時，basic_string 移動賦值中的記憶體洩漏。
https://bugs.chromium.org/p/llvm/issues/detail?id=56 報告了由 LLVM 後端引入的超出邊界緩衝區儲存，由於程序疏忽而導致回歸。
沒有為上述任何問題發布專用的 LLVM 版本。
在 2023 年期間，我們有一人加入 LLVM 安全性團隊。