論文の概要: Similar but Patched Code Considered Harmful -- The Impact of Similar but Patched Code on Recurring Vulnerability Detection and How to Remove Them

• arxiv url: http://arxiv.org/abs/2412.20740v1
• Date: Mon, 30 Dec 2024 06:32:10 GMT
• ステータス: 翻訳完了
• システム内更新日: 2024-12-31 16:07:23.704012
• Title: Similar but Patched Code Considered Harmful -- The Impact of Similar but Patched Code on Recurring Vulnerability Detection and How to Remove Them
• Title（参考訳）: 類似しているがパッチされたコードは有害であると考慮された--類似しているがパッチされたコードが再帰的な脆弱性検出に与える影響と、その除去方法
• Authors: Zixuan Tan, Jiayuan Zhou, Xing Hu, Shengyi Pan, Kui Liu, Xin Xia,
• Abstract要約: 本稿では,脆弱性検出におけるSBPインスタンスの識別とフィルタリングを行うために,FVF(Fixed Vulnerability Filter)というプログラミング言語フレームワークを提案する。 実世界のソフトウェアプロジェクト1,081にFVFを適用し、6,827のSBP関数を含む実世界のSBPデータセットを構築した。
• 参考スコア（独自算出の注目度）: 8.404849985552776
• License:
• Abstract: Identifying recurring vulnerabilities is crucial for ensuring software security. Clone-based techniques, while widely used, often generate many false alarms due to the existence of similar but patched (SBP) code, which is similar to vulnerable code but is not vulnerable due to having been patched. Although the SBP code poses a great challenge to the effectiveness of existing approaches, it has not yet been well explored. In this paper, we propose a programming language agnostic framework, Fixed Vulnerability Filter (FVF), to identify and filter such SBP instances in vulnerability detection. Different from existing studies that leverage function signatures, our approach analyzes code change histories to precisely pinpoint SBPs and consequently reduce false alarms. Evaluation under practical scenarios confirms the effectiveness and precision of our approach. Remarkably, FVF identifies and filters 65.1% of false alarms from four vulnerability detection tools (i.e., ReDeBug, VUDDY, MVP, and an elementary hash-based approach) without yielding false positives. We further apply FVF to 1,081 real-world software projects and construct a real-world SBP dataset containing 6,827 SBP functions. Due to the SBP nature, the dataset can act as a strict benchmark to test the sensitivity of the vulnerability detection approach in distinguishing real vulnerabilities and SBPs. Using this dataset, we demonstrate the ineffectiveness of four state-of-the-art deep learning-based vulnerability detection approaches. Our dataset can help developers make a more realistic evaluation of vulnerability detection approaches and also paves the way for further exploration of real-world SBP scenarios.
• Abstract（参考訳）: ソフトウェアセキュリティの確保には,繰り返し発生する脆弱性の特定が不可欠だ。 クローンベースのテクニックは広く使われているが、しばしば類似しているがパッチされた(SBP)コードが存在するため、多くの誤報を発生させる。 SBPコードは既存のアプローチの有効性に大きな課題をもたらすが、まだ十分に研究されていない。 本稿では,脆弱性検出におけるSBPインスタンスの識別とフィルタリングを行うために,プログラミング言語に依存しないFVF(Fixed Vulnerability Filter)を提案する。 関数シグネチャを利用する既存の研究とは異なり、我々の手法はコード変更履歴を分析してSBPを正確に特定し、結果として誤報を減らす。 実際のシナリオによる評価は、我々のアプローチの有効性と精度を確認する。 FVFは、4つの脆弱性検出ツール(ReDeBug、VUDDY、MVP、および基本的なハッシュベースのアプローチ)から、偽のアラームの65.1%を特定し、フィルタする。 さらに実世界のソフトウェアプロジェクト1,081にFVFを適用し、6,827のSBP関数を含む実世界のSBPデータセットを構築した。 SBPの性質のため、データセットは、実際の脆弱性とSBPを識別する脆弱性検出アプローチの感度をテストするための厳格なベンチマークとして機能する。 このデータセットを用いて、4つの最先端のディープラーニングベースの脆弱性検出手法の有効性を実証する。 当社のデータセットは,脆弱性検出アプローチをより現実的に評価する上で有効です。

関連論文リスト

• Divide and Conquer based Symbolic Vulnerability Detection [0.16385815610837165]
  本稿では,シンボル実行と制御フローグラフ解析に基づく脆弱性検出手法を提案する。 提案手法では,無関係なプログラム情報を除去するために,分割・分散アルゴリズムを用いる。
  論文  参考訳（メタデータ） (2024-09-20T13:09:07Z)
• Vulnerability Detection with Code Language Models: How Far Are We? [40.455600722638906]
  PrimeVulは、脆弱性検出のためのコードLMのトレーニングと評価のための新しいデータセットである。 これは、人間の検証されたベンチマークに匹敵するラベルの精度を達成する、新しいデータラベリング技術を含んでいる。 また、厳密なデータ重複解消戦略と時系列データ分割戦略を実装して、データの漏洩問題を軽減している。
  論文  参考訳（メタデータ） (2024-03-27T14:34:29Z)
• Toward Improved Deep Learning-based Vulnerability Detection [6.212044762686268]
  データセットの脆弱性は、コード行、関数、あるいは脆弱性が存在するプログラムスライスなど、特定の方法で表現する必要がある。 検出器は、基地ユニットがどのように脆弱であるかを学び、その後、他の基地ユニットが脆弱かどうかを予測する。 我々は、個々のベースユニットに焦点をあてることが、複数のベースユニットにまたがる脆弱性を正しく検出する検出器の能力を損なうと仮定した。 本研究は,MBU脆弱性の適切な適用に向けて,DLベースの検出を支援するためのフレームワークについて紹介する。
  論文  参考訳（メタデータ） (2024-03-05T14:57:28Z)
• The Vulnerability Is in the Details: Locating Fine-grained Information of Vulnerable Code Identified by Graph-based Detectors [33.395068754566935]
  VULEXPLAINERは、粗いレベルの脆弱なコードスニペットから脆弱性クリティカルなコード行を見つけるためのツールである。 C/C++の一般的な8つの脆弱性に対して、90%の精度で脆弱性をトリガするコードステートメントにフラグを付けることができる。
  論文  参考訳（メタデータ） (2024-01-05T10:15:04Z)
• CrossDF: Improving Cross-Domain Deepfake Detection with Deep Information Decomposition [53.860796916196634]
  クロスデータセットディープフェイク検出(CrossDF)の性能を高めるためのディープ情報分解(DID)フレームワークを提案する。 既存のディープフェイク検出方法とは異なり、我々のフレームワークは特定の視覚的アーティファクトよりも高いレベルのセマンティック特徴を優先する。 顔の特徴をディープフェイク関連情報と無関係情報に適応的に分解し、本質的なディープフェイク関連情報のみを用いてリアルタイム・フェイク識別を行う。
  論文  参考訳（メタデータ） (2023-09-30T12:30:25Z)
• DeepfakeBench: A Comprehensive Benchmark of Deepfake Detection [55.70982767084996]
  ディープフェイク検出の分野で見落とされがちな課題は、標準化され、統一され、包括的なベンチマークがないことである。 DeepfakeBenchと呼ばれる,3つの重要なコントリビューションを提供するディープフェイク検出のための,最初の包括的なベンチマークを提示する。 DeepfakeBenchには15の最先端検出方法、9CLデータセット、一連のDeepfake検出評価プロトコルと分析ツール、包括的な評価ツールが含まれている。
  論文  参考訳（メタデータ） (2023-07-04T01:34:41Z)
• Dataflow Analysis-Inspired Deep Learning for Efficient Vulnerability Detection [17.761541379830373]
  DeepDFAは、データフロー分析にインスパイアされたグラフ学習フレームワークである。 最高性能のベースラインモデルより75倍速く、9分で訓練された。 平均して17の脆弱性のうち8.7が検出され、パッチとバグの多いバージョンを区別することができた。
  論文  参考訳（メタデータ） (2022-12-15T19:49:27Z)
• VELVET: a noVel Ensemble Learning approach to automatically locate VulnErable sTatements [62.93814803258067]
  本稿では,ソースコード中の脆弱な文を見つけるための新しいアンサンブル学習手法であるVELVETを提案する。 我々のモデルは、グラフベースとシーケンスベースニューラルネットワークを組み合わせて、プログラムグラフの局所的およびグローバル的コンテキストを捕捉する。 VELVETは、合成データと実世界のデータに対して、それぞれ99.6%と43.6%の精度を達成している。
  論文  参考訳（メタデータ） (2021-12-20T22:45:27Z)
• Spotting adversarial samples for speaker verification by neural vocoders [102.1486475058963]
  我々は、自動話者検証(ASV)のための敵対サンプルを見つけるために、ニューラルボコーダを採用する。 元の音声と再合成音声のASVスコアの違いは、真正と逆正のサンプルの識別に良い指標であることがわかった。 私たちのコードは、将来的な比較作業のためにオープンソースにされます。
  論文  参考訳（メタデータ） (2021-07-01T08:58:16Z)
• Bayesian Optimization with Machine Learning Algorithms Towards Anomaly Detection [66.05992706105224]
  本稿では,ベイズ最適化手法を用いた効果的な異常検出フレームワークを提案する。 ISCX 2012データセットを用いて検討したアルゴリズムの性能を評価する。 実験結果から, 精度, 精度, 低コストアラームレート, リコールの観点から, 提案手法の有効性が示された。
  論文  参考訳（メタデータ） (2020-08-05T19:29:35Z)
• Robust Out-of-distribution Detection for Neural Networks [51.19164318924997]
  既存の検出機構は, 分布内およびOOD入力の評価において, 極めて脆弱であることを示す。 ALOE と呼ばれる実効性のあるアルゴリズムを提案する。このアルゴリズムは,逆向きに構築された逆数と外数の両方の例にモデルを公開することにより,堅牢なトレーニングを行う。
  論文  参考訳（メタデータ） (2020-03-21T17:46:28Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。