論文の概要: Unveiling the Invisible: Detection and Evaluation of Prototype Pollution Gadgets with Dynamic Taint Analysis
- arxiv url: http://arxiv.org/abs/2311.03919v1
- Date: Tue, 7 Nov 2023 11:55:40 GMT
- ステータス: 処理完了
- システム内更新日: 2024-03-25 13:36:10.735411
- Title: Unveiling the Invisible: Detection and Evaluation of Prototype Pollution Gadgets with Dynamic Taint Analysis
- Title（参考訳）: 目視を解き放つ:動的触覚解析によるプロトタイプ汚染装置の検出と評価
- Authors: Mikhail Shcherbakov, Paul Moosbrugger, Musard Balliu,
- Abstract要約: 本稿では、開発者がアプリケーションのソフトウェアサプライチェーンにあるガジェットを識別するのに役立つ最初の半自動パイプラインであるDastyを提案する。
DastyはサーバーサイドのNode.jsアプリケーションをターゲットにしており、動的テナント分析の強化に依存している。
私たちは、最も依存度の高いNPMパッケージの研究にDastyを使って、ACEにつながるガジェットの存在を分析します。
- 参考スコア（独自算出の注目度）: 4.8966278983718405
- License: http://creativecommons.org/licenses/by-sa/4.0/
- Abstract: For better or worse, JavaScript is the cornerstone of modern Web. Prototype-based languages like JavaScript are susceptible to prototype pollution vulnerabilities, enabling an attacker to inject arbitrary properties into an object's prototype. The attacker can subsequently capitalize on the injected properties by executing otherwise benign pieces of code, so-called gadgets, that perform security-sensitive operations. The success of an attack largely depends on the presence of gadgets, leading to high-profile exploits such as privilege escalation and arbitrary code execution (ACE). This paper proposes Dasty, the first semi-automated pipeline to help developers identify gadgets in their applications' software supply chain. Dasty targets server-side Node.js applications and relies on an enhancement of dynamic taint analysis which we implement with the dynamic AST-level instrumentation. Moreover, Dasty provides support for visualization of code flows with an IDE, thus facilitating the subsequent manual analysis for building proof-of-concept exploits. To illustrate the danger of gadgets, we use Dasty in a study of the most dependent-upon NPM packages to analyze the presence of gadgets leading to ACE. Dasty identifies 1,269 server-side packages, of which 631 have code flows that may reach dangerous sinks. We manually prioritize and verify the candidate flows to build proof-of-concept exploits for 49 NPM packages, including popular packages such as ejs, nodemailer and workerpool. To investigate how Dasty integrates with existing tools to find end-to-end exploits, we conduct an in-depth analysis of a popular data visualization dashboard to find one high-severity CVE-2023-31415 leading to remote code execution. For the first time, our results systematically demonstrate the dangers of server-side gadgets and call for further research to solve the problem.
- Abstract（参考訳）: 良くも悪くも、JavaScriptはモダンなWebの基盤です。
JavaScriptのようなプロトタイプベースの言語は、プロトタイプの汚染脆弱性の影響を受けやすいため、攻撃者はオブジェクトのプロトタイプに任意のプロパティを注入することができる。
攻撃者はその後、セキュリティに敏感な操作を行うような、良質なコード、いわゆるガジェットを実行することで、注入されたプロパティを収益化することができる。
攻撃の成功は、ガジェットの存在に大きく依存しており、特権のエスカレーションや任意のコード実行(ACE)といった顕著なエクスプロイトにつながっている。
本稿では、開発者がアプリケーションのソフトウェアサプライチェーンにあるガジェットを識別するのに役立つ最初の半自動パイプラインであるDastyを提案する。
DastyはサーバサイドのNode.jsアプリケーションをターゲットにしており、動的ASTレベルのインスツルメンテーションで実装した動的テナント分析の強化に依存しています。
さらにDastyは,IDEによるコードフローの可視化のサポートも提供する。
ガジェットの危険性を説明するために、我々は最も依存度の高いNPMパッケージの研究にDastyを使用し、ACEにつながるガジェットの存在を分析する。
Dasty氏は1,269のサーバサイドパッケージを特定し、そのうち631には危険なシンクに達する可能性のあるコードフローがある。
我々は,ejs, nodemailer, workerspoolなどの一般的なパッケージを含む49のNPMパッケージに対する概念実証エクスプロイトを構築するために,候補フローを手作業で優先順位付けし,検証する。
Dastyが既存のツールとどのように統合してエンドツーエンドのエクスプロイトを見つけるかを調べるために、人気のあるデータ視覚化ダッシュボードを詳細に分析して、リモートコード実行につながる高重度なCVE-2023-31415を見つけます。
本研究は,サーバサイドガジェットの危険性を体系的に実証し,その解決に向けたさらなる研究を求めるものである。
関連論文リスト
- Fakeium: A Dynamic Execution Environment for JavaScript Program Analysis [3.7980955101286322]
Fakeiumは、JavaScriptプログラムの効率的で大規模な動的解析のために設計された、新しい、オープンソースで軽量な実行環境である。
Fakeiumは、API呼び出しと文字列リテラルを追加することで、従来の静的解析を補完する。
Fakeiumの柔軟性と、特に難解なソースで隠れたAPI呼び出しを検出する能力は、セキュリティアナリストが悪意のある振る舞いを検出する貴重なツールとしての可能性を強調している。
論文 参考訳（メタデータ） (2024-10-28T09:27:26Z) - Compromising Embodied Agents with Contextual Backdoor Attacks [69.71630408822767]
大型言語モデル(LLM)は、エンボディドインテリジェンスの発展に変化をもたらした。
本稿では,このプロセスにおけるバックドアセキュリティの重大な脅威を明らかにする。
ほんの少しの文脈的デモンストレーションを毒殺しただけで、攻撃者はブラックボックスLDMの文脈的環境を隠蔽することができる。
論文 参考訳（メタデータ） (2024-08-06T01:20:12Z) - A Lean Transformer Model for Dynamic Malware Analysis and Detection [0.0]
マルウェアは現代のコンピューティングの世界にとって急速に成長する脅威であり、既存の防衛線はこの問題に対処するのに十分な効率性を持っていない。
これまでの研究では、実行レポートから抽出したニューラルネットワークとAPI呼び出しシーケンスを活用することに成功した。
本稿では,悪意のあるファイルを検出するために,Transformersアーキテクチャに基づくエミュレーションオンリーモデルを設計する。
論文 参考訳（メタデータ） (2024-08-05T08:46:46Z) - GHunter: Universal Prototype Pollution Gadgets in JavaScript Runtimes [5.852467142337343]
プロトタイプ汚染は、JavaScriptコードに影響を与える最近の脆弱性である。
これはJavaScriptのプロトタイプベースの継承をルーツとしており、攻撃者は実行時にオブジェクトのプロトタイプに任意のプロパティを注入することができる。
V8ベースのJavaScriptランタイムにおけるガジェットの研究は、Node.jsとDenoに重点を置いている。
論文 参考訳（メタデータ） (2024-07-15T15:30:00Z) - FV8: A Forced Execution JavaScript Engine for Detecting Evasive Techniques [53.288368877654705]
FV8はJavaScriptコードの回避テクニックを特定するために設計された修正V8 JavaScriptエンジンである。
動的コードを条件付きで注入するAPI上でのコード実行を選択的に実施する。
1,443のnpmパッケージと、少なくとも1つのタイプのエスケープを含む164の(82%)拡張を識別する。
論文 参考訳（メタデータ） (2024-05-21T19:54:19Z) - JITScanner: Just-in-Time Executable Page Check in the Linux Operating System [6.725792100548271]
JITScannerはLoadable Kernel Module (LKM)上に構築されたLinux指向パッケージとして開発されている。
スケーラブルなマルチプロセッサ/コア技術を使用してLKMと効率的に通信するユーザレベルのコンポーネントを統合する。
JITScannerによるマルウェア検出の有効性と、通常のランタイムシナリオにおける最小限の侵入が広くテストされている。
論文 参考訳（メタデータ） (2024-04-25T17:00:08Z) - A Systematic Evaluation of Automated Tools for Side-Channel Vulnerabilities Detection in Cryptographic Libraries [6.826526973994114]
文献を調査し,34のサイドチャネル検出フレームワークの分類を行った。
次に、5つの有望な検出ツールの選択に基づいて、代表的な暗号操作のベンチマークを構築しました。
最近公開されたサイドチャネル脆弱性の分類を提供する。
既存のツールでは,SIMD命令のサポートの欠如,暗黙のフロー,内部シークレット生成など,さまざまな理由から脆弱性を見つけるのに苦労しています。
論文 参考訳（メタデータ） (2023-10-12T09:18:26Z) - Not what you've signed up for: Compromising Real-World LLM-Integrated
Applications with Indirect Prompt Injection [64.67495502772866]
大規模言語モデル(LLM)は、様々なアプリケーションに統合されつつある。
本稿では、プロンプトインジェクション攻撃を用いて、攻撃者が元の命令をオーバーライドし、制御を採用する方法を示す。
我々は、コンピュータセキュリティの観点から、影響や脆弱性を体系的に調査する包括的な分類法を導出する。
論文 参考訳（メタデータ） (2023-02-23T17:14:38Z) - VELVET: a noVel Ensemble Learning approach to automatically locate
VulnErable sTatements [62.93814803258067]
本稿では,ソースコード中の脆弱な文を見つけるための新しいアンサンブル学習手法であるVELVETを提案する。
我々のモデルは、グラフベースとシーケンスベースニューラルネットワークを組み合わせて、プログラムグラフの局所的およびグローバル的コンテキストを捕捉する。
VELVETは、合成データと実世界のデータに対して、それぞれ99.6%と43.6%の精度を達成している。
論文 参考訳（メタデータ） (2021-12-20T22:45:27Z) - Adversarial EXEmples: A Survey and Experimental Evaluation of Practical
Attacks on Machine Learning for Windows Malware Detection [67.53296659361598]
EXEmplesは、比較的少ない入力バイトを摂動することで、機械学習に基づく検出をバイパスすることができる。
我々は、機械学習モデルに対する過去の攻撃を包含し、一般化するだけでなく、3つの新たな攻撃を含む統一フレームワークを開発する。
これらの攻撃はFull DOS、Extended、Shiftと呼ばれ、DOSヘッダをそれぞれ操作し、拡張し、第1セクションの内容を変更することで、敵のペイロードを注入する。
論文 参考訳（メタデータ） (2020-08-17T07:16:57Z) - Graph Backdoor [53.70971502299977]
GTAはグラフニューラルネットワーク(GNN)に対する最初のバックドア攻撃である。
GTAは、トポロジカル構造と記述的特徴の両方を含む特定の部分グラフとしてトリガーを定義する。
トランスダクティブ(ノード分類など)とインダクティブ(グラフ分類など)の両方のタスクに対してインスタンス化することができる。
論文 参考訳（メタデータ） (2020-06-21T19:45:30Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。