Fugu-MT 論文翻訳(概要): PatchFuzz: Patch Fuzzing for JavaScript Engines

論文の概要: PatchFuzz: Patch Fuzzing for JavaScript Engines

arxiv url: http://arxiv.org/abs/2505.00289v1
Date: Thu, 01 May 2025 04:26:21 GMT
ステータス: 翻訳完了
システム内更新日: 2025-05-02 19:15:55.218994
Title: PatchFuzz: Patch Fuzzing for JavaScript Engines
Title（参考訳）: PatchFuzz: JavaScriptエンジン用のパッチファズ
Authors: Junjie Wang, Yuhan Ma, Xiaofei Xie, Xiaoning Du, Xiangwei Zhang,
Abstract要約: Patch fuzzingは、新しくパッチされたコードから発生する脆弱性を特定するためのテクニックである。我々はPatchFuzzという名のJavaScriptエンジンのパッチファジングに対して,エンドツーエンドで持続可能なアプローチを提案する。 6つの人気のあるJavaScriptエンジンの54のバグが公開され、合計62,500ドルの報奨金が受け取った。
参考スコア（独自算出の注目度）: 21.09235171872659
License: http://creativecommons.org/licenses/by/4.0/
Abstract: Patch fuzzing is a technique aimed at identifying vulnerabilities that arise from newly patched code. While researchers have made efforts to apply patch fuzzing to testing JavaScript engines with considerable success, these efforts have been limited to using ordinary test cases or publicly available vulnerability PoCs (Proof of Concepts) as seeds, and the sustainability of these approaches is hindered by the challenges associated with automating the PoC collection. To address these limitations, we propose an end-to-end sustainable approach for JavaScript engine patch fuzzing, named PatchFuzz. It automates the collection of PoCs of a broader range of historical vulnerabilities and leverages both the PoCs and their corresponding patches to uncover new vulnerabilities more effectively. PatchFuzz starts by recognizing git commits which intend to fix security bugs. Subsequently, it extracts and processes PoCs from these commits to form the seeds for fuzzing, while utilizing code revisions to focus limited fuzzing resources on the more vulnerable code areas through selective instrumentation. The mutation strategy of PatchFuzz is also optimized to maximize the potential of the PoCs. Experimental results demonstrate the effectiveness of PatchFuzz. Notably, 54 bugs across six popular JavaScript engines have been exposed and a total of $62,500 bounties has been received.
Abstract（参考訳）: Patch fuzzingは、新しくパッチされたコードから発生する脆弱性を特定するためのテクニックである。研究者は、JavaScriptエンジンのテストにパッチファジングを適用する努力をかなり成功させてきたが、これらの取り組みは通常のテストケースや公開された脆弱性PoC(Proof of Concepts)をシードとして使用することに限定されており、これらのアプローチの持続性は、PoCコレクションの自動化に関わる課題によって妨げられている。これらの制約に対処するため,PatchFuzzという名のJavaScriptエンジンのパッチファズリングに対して,エンドツーエンドで持続可能なアプローチを提案する。さまざまな歴史的脆弱性のPoCの収集を自動化し、PoCとそれに対応するパッチの両方を活用して、新たな脆弱性をより効果的に発見する。 PatchFuzzは、セキュリティバグを修正するためにgitコミットを認識することから始まる。その後、これらのコミットからPoCを抽出し処理し、ファジィングのシードを形成すると同時に、コード修正を利用して、選択的なインスツルメンテーションを通じて、より脆弱なコード領域に限られたファジィングリソースを集中させる。 PatchFuzzの突然変異戦略は、PoCの可能性を最大化するために最適化されている。 PatchFuzzの有効性を実験的に検証した。注目すべきなのは、6つの人気のあるJavaScriptエンジンの54のバグが暴露され、合計62,500ドルの報奨金が受け取ったことだ。

関連論文リスト

In the Magma chamber: Update and challenges in ground-truth vulnerabilities revival for automatic input generator comparison [42.95491588006701]
Magma氏は、現在のソフトウェアリリースで脆弱性のあるコードを再導入するフォワードポートの概念を紹介した。彼らの成果は有望だが、現状では、このアプローチの保守性に対するアップデートが時間とともに欠落している。我々は,MagmaのCVEの公開から4年後の可搬性を再評価することで,フォワードポーティングの課題を特徴づける。
論文参考訳（メタデータ） (2025-03-25T17:59:27Z)
Layer-Level Self-Exposure and Patch: Affirmative Token Mitigation for Jailbreak Attack Defense [55.77152277982117]
私たちは、jailbreak攻撃から防御するために設計された方法であるLayer-AdvPatcherを紹介します。私たちは、自己拡張データセットを通じて、大規模言語モデル内の特定のレイヤにパッチを適用するために、未学習の戦略を使用します。我々の枠組みは、脱獄攻撃の有害性と攻撃の成功率を減らす。
論文参考訳（メタデータ） (2025-01-05T19:06:03Z)
Mutation-Based Deep Learning Framework Testing Method in JavaScript Environment [16.67312523556796]
そこで本研究では,DLJSFuzzerという変異ベースのJavaScript DLフレームワークテスティング手法を提案する。 DLJSFuzzerは21のユニークなクラッシュと126のNaN & Inconsistencyバグを正常に検出する。 DLJSFuzzerはモデル生成効率が47%以上、バグ検出効率が91%以上改善されている。
論文参考訳（メタデータ） (2024-09-23T12:37:56Z)
FV8: A Forced Execution JavaScript Engine for Detecting Evasive Techniques [53.288368877654705]
FV8はJavaScriptコードの回避テクニックを特定するために設計された修正V8 JavaScriptエンジンである。動的コードを条件付きで注入するAPI上でのコード実行を選択的に実施する。 1,443のnpmパッケージと、少なくとも1つのタイプのエスケープを含む164の(82%)拡張を識別する。
論文参考訳（メタデータ） (2024-05-21T19:54:19Z)
PrescientFuzz: A more effective exploration approach for grey-box fuzzing [0.45053464397400894]
我々は、対象プログラムの制御フローグラフ(CFG)から意味情報を利用する、PrescientFuzzと呼ばれるLibAFLのファズベッハの強化版を作成する。本研究では,その実行経路と未発見エッジとの近接性に基づいて,突然変異に対する入力の選択を優先する入力コーパススケジューラを開発する。
論文参考訳（メタデータ） (2024-04-29T17:21:18Z)
CovRL: Fuzzing JavaScript Engines with Coverage-Guided Reinforcement Learning for LLM-based Mutation [2.5864634852960444]
本稿では,大規模言語モデル(LLM)とカバレッジフィードバックからの強化学習を組み合わせた,CovRL(Coverage-guided Reinforcement Learning)と呼ばれる新しい手法を提案する。 CovRL-Fuzzは、39の既知の脆弱性と11のCVEを含む、最新のJavaScriptエンジンにおける48の実際のセキュリティ関連バグを特定している。
論文参考訳（メタデータ） (2024-02-19T15:30:40Z)
On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。 Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
論文参考訳（メタデータ） (2023-06-08T20:14:46Z)
DRSM: De-Randomized Smoothing on Malware Classifier Providing Certified Robustness [58.23214712926585]
我々は,マルウェア検出領域の非ランダム化スムース化技術を再設計し,DRSM(De-Randomized Smoothed MalConv)を開発した。具体的には,実行可能ファイルの局所構造を最大に保ちながら,逆数バイトの影響を確実に抑制するウィンドウアブレーション方式を提案する。私たちは、マルウェア実行ファイルの静的検出という領域で、認証された堅牢性を提供する最初の人です。
論文参考訳（メタデータ） (2023-03-20T17:25:22Z)
Segment and Complete: Defending Object Detectors against Adversarial Patch Attacks with Robust Patch Detection [142.24869736769432]
敵のパッチ攻撃は最先端の物体検出器に深刻な脅威をもたらす。パッチ攻撃に対して物体検出器を防御するフレームワークであるSegment and Complete Defense (SAC)を提案する。 SACは、物理的パッチ攻撃の標的攻撃成功率を著しく低減できることを示す。
論文参考訳（メタデータ） (2021-12-08T19:18:48Z)
Exploring Plausible Patches Using Source Code Embeddings in JavaScript [1.3327130030147563]
オープンソースJavaScriptプロジェクトでDoc2Vecモデルをトレーニングし、10のバグに対して465のパッチを生成しました。これらの正当なパッチと開発者修正は、元のプログラムとの類似性に基づいてランク付けされる。これらの類似性リストを分析し、プレーンな文書埋め込みが誤分類につながる可能性があることを発見した。
論文参考訳（メタデータ） (2021-03-31T06:57:10Z)
(De)Randomized Smoothing for Certifiable Defense against Patch Attacks [136.79415677706612]
我々は、所定の画像とパッチ攻撃サイズを保証する、パッチ攻撃に対する認証可能な防御を導入する。本手法はランダム化スムースなロバスト性スキームの幅広いクラスに関係している。その結果,CIFAR-10およびImageNetに対するパッチ攻撃に対する認証済みの防御技術が確立した。
論文参考訳（メタデータ） (2020-02-25T08:39:46Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。