論文の概要: Hidden Dependencies and Component Variants in SBOM-Based Software Composition Analysis
- arxiv url: http://arxiv.org/abs/2604.21278v1
- Date: Thu, 23 Apr 2026 04:46:41 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-04-24 14:40:06.307178
- Title: Hidden Dependencies and Component Variants in SBOM-Based Software Composition Analysis
- Title（参考訳）: SBOMに基づくソフトウェア構成分析における隠れ依存性と成分変数
- Abstract要約: SBOM(Software Bills of Materials)は、サプライチェーンの攻撃が激化する中で、脆弱性管理の重要な技術として登場した。
本稿では,コンポーネントレベルの依存関係として表現されない隠されたコードレベルの依存関係と,スキャナによって一貫した識別ができないコンポーネントの変種(クローン)の2つのミスマッチパターンについて検討する。
これらのミスマッチは、一般的なSBOMベースの脆弱性スキャナー間での、一貫性のない脆弱性レポートとステートメントの一貫性のないハンドリングにつながる可能性がある。
- 参考スコア（独自算出の注目度）: 0.7057291175356535
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Software Bills of Material (SBOMs) have emerged as an important technology for vulnerability management amid rising supply-chain attacks. They represent component relationships within a software product and support software composition analysis (SCA) by linking components to known vulnerabilities. However, the effectiveness of SBOM-based analysis depends on how accurately SBOMs represent component identities and actual dependencies in software. This paper studies two mismatch patterns: hidden code-level dependencies that are not represented as component-level dependencies, and component variants (clones) that cannot be identified consistently by scanners. We show that these mismatches can lead to inconsistent vulnerability reporting and inconsistent handling of VEX statements across popular SBOM-based vulnerability scanners. These results highlight limitations in current SBOM production and consumption and motivate richer dependency representation and component identity.
- Abstract（参考訳）: SBOM(Software Bills of Materials)は、サプライチェーンの攻撃が激化する中で、脆弱性管理の重要な技術として登場した。
ソフトウェア製品内のコンポーネントの関係を表現し、コンポーネントを既知の脆弱性にリンクすることで、ソフトウェア構成分析(SCA)をサポートする。
しかし、SBOMに基づく分析の有効性は、SBOMがコンポーネントのアイデンティティと実際のソフトウェア依存性をどれだけ正確に表現するかに依存する。
本稿では,コンポーネントレベルの依存関係として表現されない隠されたコードレベルの依存関係と,スキャナによって一貫した識別ができないコンポーネントの変種(クローン)の2つのミスマッチパターンについて検討する。
これらのミスマッチは、一般的なSBOMベースの脆弱性スキャナー間での、一貫性のない脆弱性報告とVEXステートメントの不整合処理につながる可能性があることを示す。
これらの結果は、現在のSBOMの生産と消費の制限を強調し、よりリッチな依存性表現とコンポーネントのアイデンティティを動機付けます。
関連論文リスト
- Poking Around in the Dark: Why a Shared Understanding of Components Matters [15.79463883263798]
一般的な4つのSBOM生成ツールを分析し、それらが関連するコンポーネントをどのように定義し、識別するかを理解する。
我々はこれらをPython、Java、Go、PHP、Rust、Cといったプログラミング言語の根底にある真実を使って評価します。
現在の曖昧な定義とツールの下では、SBOMはコンポーネントの包摂において曖昧さと盲点を示す。
論文 参考訳（メタデータ） (2026-06-01T16:12:26Z) - Dynamic analysis enhances issue resolution [53.50448142467294]
DAIRA(Dynamic Analysis-enhanced Issue Resolution Agent)は、エージェントの推論サイクルに動的解析を組み込む自動修復フレームワークである。
テストトレース駆動の方法論によって駆動されるDAIRAは、軽量モニタを使用して重要なランタイムデータを抽出する。
Gemini 3 Flash Previewを使用すると、DAIRAは新たな最先端(SOTA)パフォーマンスを確立し、SWE-bench Verifiedデータセットで79.4%の解像度を達成する。
論文 参考訳（メタデータ） (2026-03-23T14:48:54Z) - Cascaded Vulnerability Attacks in Software Supply Chains [1.628589561701473]
本稿では,SBOMによるセキュリティ分析手法とツールに対する新しいアプローチを提案する。
我々は,スキャナ出力を独立したレコードとして扱うのではなく,依存関係構造上の脆弱性関係をモデル化する。
次に、不均一グラフ注意ネットワーク(HGAT)をトレーニングして、あるコンポーネントが少なくとも1つの既知の脆弱性と関連付けられているかどうかを予測する。
論文 参考訳（メタデータ） (2026-01-28T01:31:09Z) - Multi-Agent Taint Specification Extraction for Vulnerability Detection [49.27772068704498]
コンテナ分析を使用した静的アプリケーションセキュリティテスト(SAST)ツールは、高品質な脆弱性検出結果を提供するものとして広く見なされている。
本稿では,Large Language Models (LLM) のセマンティック理解と従来の静的プログラム解析を戦略的に組み合わせたマルチエージェントシステムであるSemTaintを提案する。
私たちは、SemTaintを最先端のSASTツールであるCodeQLと統合し、これまでCodeQLで検出できなかった162の脆弱性の106を検出して、その効果を実証しています。
論文 参考訳（メタデータ） (2026-01-15T21:31:51Z) - A Large Scale Empirical Analysis on the Adherence Gap between Standards and Tools in SBOM [54.38424417079265]
ソフトウェア・ビル・オブ・マテリアル(Software Bill of Materials, SBOM)は、ソフトウェア情報を整理する機械読み取り可能なアーティファクトである。
標準に従って、組織はSBOMの生成と利用のためのツールを開発した。
本稿では,我々の自動評価フレームワークであるSAPを用いて,接着ギャップの大規模2段階解析を行った。
論文 参考訳（メタデータ） (2026-01-09T08:26:05Z) - UniBOM -- A Unified SBOM Analysis and Visualisation Tool for IoT Systems and Beyond [0.23332469289621785]
本稿では,UniBOMについて紹介する。UniBOMは,材料生成・分析・可視化のための高度なツールである。
UniBOMはバイナリ、脆弱性、ソースコード解析を統合し、きめ細かい脆弱性検出とリスク管理を可能にする。
主な機能としては、履歴追跡、重大度によるAIベースの分類、メモリ安全性、非パッケージ管理のC/C++依存関係のサポートなどがある。
論文 参考訳（メタデータ） (2025-11-27T11:50:58Z) - VDGraph: A Graph-Theoretic Approach to Unlock Insights from SBOM and SCA Data [1.1417805445492082]
本稿では,脆弱性と依存性データを総合的な視点に統合するための知識グラフベースの方法論であるVDGraphを紹介する。
VDGraphは、Software Bill of Materials(SBOM)とSoftware Composition Analysis(SCA)の出力を、ソフトウェアプロジェクトの依存関係と脆弱性のグラフ表現に統合します。
我々は、脆弱性が主に3つの依存性レベル以上の深さで出現していることを示し、直接的なまたは二次的な依存関係がより低い脆弱性密度を示し、より安全である傾向があることを示す。
論文 参考訳（メタデータ） (2025-07-28T03:43:29Z) - Bomfather: An eBPF-based Kernel-level Monitoring Framework for Accurate Identification of Unknown, Unused, and Dynamically Loaded Dependencies in Modern Software Supply Chains [0.0]
依存性追跡手法の不正確さは、現代のソフトウェアサプライチェーンのセキュリティと整合性を損なう。
本稿では,拡張バークレーパケットフィルタ(eBPF)を利用したカーネルレベルのフレームワークを提案する。
論文 参考訳（メタデータ） (2025-03-03T22:32:59Z) - MVICAD2: Multi-View Independent Component Analysis with Delays and Dilations [61.59658203704757]
本稿では,時間的遅延と拡張の両面において,被験者間でソースを異にするMVICAD(Multi-View Independent Component Analysis with Delays and Dilations)を提案する。
本稿では, 正則化と最適化手法を用いて, 性能向上を図るため, 正則化と最適化手法を用いて, その可能性の近似を導出する。
論文 参考訳（メタデータ） (2025-01-13T15:47:02Z) - The Impact of SBOM Generators on Vulnerability Assessment in Python: A Comparison and a Novel Approach [56.4040698609393]
Software Bill of Materials (SBOM) は、ソフトウェア構成における透明性と妥当性を高めるツールとして推奨されている。
現在のSBOM生成ツールは、コンポーネントや依存関係を識別する際の不正確さに悩まされることが多い。
提案するPIP-sbomは,その欠点に対処する新しいピップインスパイアされたソリューションである。
論文 参考訳（メタデータ） (2024-09-10T10:12:37Z) - On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。
Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。
検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
論文 参考訳（メタデータ） (2023-06-08T20:14:46Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。