google/oss-fuzz

これは何？

主な機能

• 01libFuzzer、AFL++、Honggfuzzの各エンジンをサニタイザーと組み合わせて実行します。
• 02ClusterFuzzを通じて、分散ファジングの実行とバグ報告を行います。
• 03C/C++、Rust、Go、Python、Java、JavaScript、Luaのターゲットに対応しています。
• 04ホスト型サービスを利用できないプロジェクトでも、ClusterFuzzLiteを使ってセルフホストできます。

ユースケース

• 広く使われているオープンソースのCまたはC++ライブラリを継続的にファジングし、メモリ安全性のバグを検出する。
• Go、Rust、Pythonのプロジェクトにファジングターゲットを追加し、リリース前にクラッシュを検出する。
• 公開サービスを利用できない非公開コードベースで、セルフホスト型のファジングを実行する。

クイックスタート

1. 1

   プロジェクトのオンボーディング方法を確認するには、詳細なドキュメントをお読みください

使う前に知っておきたいこと

• !OSS-Fuzzはオープンソースプロジェクトの適格性を審査するサービスです。そのため、クローズドソースのプロジェクトでは、代わりにClusterFuzzまたはClusterFuzzLiteを自分でホストする必要があります。
• !これは単体ツールではなくファジング基盤プロジェクトであるため、すぐにローカル環境で実行できるものではありません。

トピック

よくある質問

oss-fuzz とは？

Googleがオープンソースプロジェクト向けに提供する継続的ファジングサービス。libFuzzer、AFL++、Honggfuzzとサニタイザーでセキュリティ上のバグを検出します。 OSS-Fuzzは、Googleがオープンソースプロジェクト向けに運用する継続的なファジングテストサービスです。ファジングでは、プログラムに大量の想定外の入力を与えてクラッシュやバッファオーバーフローなどのメモリエラーを検出します。こうした問題はセキュリティ上の影響につながる可能性があります。

oss-fuzz は無料で使えますか？ライセンスは？

oss-fuzz は Apache-2.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

oss-fuzz は今もメンテナンスされていますか？

活発にメンテナンス中。oss-fuzz の最終コミットは 2026年10月19日 です。

oss-fuzz は何に使えますか？

広く使われているオープンソースのCまたはC++ライブラリを継続的にファジングし、メモリ安全性のバグを検出する。 Go、Rust、Pythonのプロジェクトにファジングターゲットを追加し、リリース前にクラッシュを検出する。 公開サービスを利用できない非公開コードベースで、セルフホスト型のファジングを実行する。

oss-fuzz のインストール方法は？

プロジェクトのオンボーディング方法を確認するには、詳細なドキュメントをお読みください

oss-fuzz はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/google/oss-fuzz