論文の概要: "I wasn't sure if this is indeed a security risk": Data-driven Understanding of Security Issue Reporting in GitHub Repositories of Open Source npm Packages

• arxiv url: http://arxiv.org/abs/2506.07728v1
• Date: Mon, 09 Jun 2025 13:11:35 GMT
• ステータス: 翻訳完了
• システム内更新日: 2025-06-10 16:33:10.961195
• Title: "I wasn't sure if this is indeed a security risk": Data-driven Understanding of Security Issue Reporting in GitHub Repositories of Open Source npm Packages
• Title（参考訳）: データ駆動によるGitHubリポジトリのセキュリティ問題レポートの理解 npm Packages
• Authors: Rajdeep Ghosh, Shiladitya De, Mainack Mondal,
• Abstract要約: この研究は、GitHubリポジトリ全体で報告された10,907,467件のnpmパッケージを収集した。 これらの問題に関連するタグは、セキュリティ関連の問題に0.13%しか存在しないことを示している。 手動解析のアプローチに続いて、高精度な機械学習モデルを構築し、セキュリティ関連の問題としてタグ付けされていない1,617,738件を特定した。
• 参考スコア（独自算出の注目度）: 8.360992461585308
• License: http://creativecommons.org/licenses/by-nc-nd/4.0/
• Abstract: The npm (Node Package Manager) ecosystem is the most important package manager for JavaScript development with millions of users. Consequently, a plethora of earlier work investigated how vulnerability reporting, patch propagation, and in general detection as well as resolution of security issues in such ecosystems can be facilitated. However, understanding the ground reality of security-related issue reporting by users (and bots) in npm-along with the associated challenges has been relatively less explored at scale. In this work, we bridge this gap by collecting 10,907,467 issues reported across GitHub repositories of 45,466 diverse npm packages. We found that the tags associated with these issues indicate the existence of only 0.13% security-related issues. However, our approach of manual analysis followed by developing high accuracy machine learning models identify 1,617,738 security-related issues which are not tagged as security-related (14.8% of all issues) as well as 4,461,934 comments made on these issues. We found that the bots which are in wide use today might not be sufficient for either detecting or offering assistance. Furthermore, our analysis of user-developer interaction data hints that many user-reported security issues might not be addressed by developers-they are not tagged as security-related issues and might be closed without valid justification. Consequently, a correlation analysis hints that the developers quickly handle security issues with known solutions (e.g., corresponding to CVE). However, security issues without such known solutions (even with reproducible code) might not be resolved. Our findings offer actionable insights for improving security management in open-source ecosystems, highlighting the need for smarter tools and better collaboration. The data and code for this work is available at https://doi.org/10.5281/zenodo.15614029
• Abstract（参考訳）: npm(Node Package Manager)エコシステムは、数百万のユーザがいるJavaScript開発のための最も重要なパッケージマネージャである。 その結果,脆弱性報告やパッチの伝搬,一般的な検出,さらにはこのようなエコシステムにおけるセキュリティ問題の解決を容易にする方法が,これまでも数多く研究されてきた。 しかし,npmにおけるユーザ(およびボット)によるセキュリティ関連問題報告の実態と関連する課題の理解は,比較的少ない。 この作業では、45,466種類のnpmパッケージからなるGitHubリポジトリ全体で報告された10,907,467のイシューを収集することで、このギャップを埋める。 これらの問題に関連するタグは、セキュリティ関連の問題に0.13%しか存在しないことを示している。 しかし、我々の手動分析のアプローチは、高い精度の機械学習モデルの開発に続き、1,617,738件のセキュリティ関連問題(全問題の14.8%)と4,461,934件のコメントを識別する。 現在広く使われているボットは、検出や支援を行うのに十分ではないかもしれないことがわかった。 さらに,ユーザと開発者間のインタラクションデータの解析から,ユーザ報告されたセキュリティ問題の多くが開発者によって対処されず,セキュリティ関連の問題としてタグ付けされず,正当な正当化なしにクローズされる可能性が示唆された。 その結果、相関分析は、開発者が既知のソリューション(例えば、CVEに対応する)でセキュリティ問題に迅速に対処することを示唆している。 しかし、そのような既知のソリューション(再現可能なコードでさえ)のないセキュリティ問題は解決されないかもしれない。 私たちの発見は、オープンソースのエコシステムにおけるセキュリティ管理を改善するための実用的な洞察を提供し、よりスマートなツールとより良いコラボレーションの必要性を強調します。 この作業のデータとコードはhttps://doi.org/10.5281/zenodo.15614029で公開されている。

関連論文リスト

• VPI-Bench: Visual Prompt Injection Attacks for Computer-Use Agents [74.6761188527948]
  完全なシステムアクセスを持つコンピュータ利用エージェント(CUA)は、セキュリティとプライバシの重大なリスクを負う。 我々は、悪意のある命令がレンダリングされたユーザーインターフェイスに視覚的に埋め込まれた視覚的プロンプトインジェクション(VPI)攻撃について検討する。 実験により,現在のCUAとBUAは,それぞれのプラットフォーム上で最大51%,100%の速度で騙すことができることがわかった。
  論文  参考訳（メタデータ） (2025-06-03T05:21:50Z)
• Eradicating the Unseen: Detecting, Exploiting, and Remediating a Path Traversal Vulnerability across GitHub [1.2124551005857036]
  オープンソースソフトウェアの脆弱性は、現代のデジタルエコシステムにカスケード効果をもたらす可能性がある。 1,756の脆弱性のあるオープンソースプロジェクトを特定しました。 当社は、この脆弱性をメンテナに責任を持って開示し、報告された脆弱性の14%が再報告されている。
  論文  参考訳（メタデータ） (2025-05-26T16:29:21Z)
• Investigating Vulnerability Disclosures in Open-Source Software Using Bug Bounty Reports and Security Advisories [6.814841205623832]
  私たちは,GitHubのセキュリティアドバイザリ3,798件と,OSSバグ報奨金レポート4,033件について,実証的研究を行った。 OSSの脆弱性がセキュリティアドバイザリやバグ報奨金報告からどのように伝播するかを説明する明示的なプロセスは、私たちが最初に決定します。
  論文  参考訳（メタデータ） (2025-01-29T16:36:41Z)
• Discovery of Timeline and Crowd Reaction of Software Vulnerability Disclosures [47.435076500269545]
  Apache Log4Jはリモートコード実行攻撃に対して脆弱であることが判明した。 35,000以上のパッケージが最新バージョンでLog4Jライブラリをアップデートせざるを得なかった。 ソフトウェアベンダが脆弱性のないバージョンをリリースするたびに、ソフトウェア開発者がサードパーティのライブラリを更新するのは、事実上妥当です。
  論文  参考訳（メタデータ） (2024-11-12T01:55:51Z)
• Just another copy and paste? Comparing the security vulnerabilities of ChatGPT generated code and StackOverflow answers [4.320393382724067]
  この研究は、ChatGPTとStackOverflowスニペットの脆弱性を実証的に比較する。 ChatGPTはSOスニペットにある302の脆弱性と比較して248の脆弱性を含んでおり、統計的に有意な差のある20%の脆弱性を生み出した。 この結果から,両プラットフォーム間の安全性の低いコード伝搬について,開発者が教育を受けていないことが示唆された。
  論文  参考訳（メタデータ） (2024-03-22T20:06:41Z)
• What Can Self-Admitted Technical Debt Tell Us About Security? A Mixed-Methods Study [6.286506087629511]
  自己充足型技術的負債(SATD) 潜在的に悪用可能な脆弱性や セキュリティ上の欠陥に関する 恐ろしい情報源と見なすことができます 本研究は、SATDのセキュリティへの影響を、技術と開発者中心の観点から検討する。
  論文  参考訳（メタデータ） (2024-01-23T13:48:49Z)
• On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
  Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。 Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。 検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
  論文  参考訳（メタデータ） (2023-06-08T20:14:46Z)
• Detecting Security Patches via Behavioral Data in Code Repositories [11.052678122289871]
  Gitリポジトリ内の開発者動作のみを使用して,セキュリティパッチを自動的に識別するシステムを示す。 秘密のセキュリティパッチを88.3%、F1スコア89.8%で公開できることを示しました。
  論文  参考訳（メタデータ） (2023-02-04T06:43:07Z)
• Dos and Don'ts of Machine Learning in Computer Security [74.1816306998445]
  大きな可能性にもかかわらず、セキュリティにおける機械学習は、パフォーマンスを損なう微妙な落とし穴を引き起こす傾向がある。 我々は,学習ベースのセキュリティシステムの設計,実装,評価において共通の落とし穴を特定する。 我々は,落とし穴の回避や軽減を支援するために,研究者を支援するための実用的な勧告を提案する。
  論文  参考訳（メタデータ） (2020-10-19T13:09:31Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。