論文の概要: One Is Not Enough: The Untold Story of Multiple Security Patches for One Vulnerability
- arxiv url: http://arxiv.org/abs/2609.07224v1
- Date: Mon, 07 Sep 2026 08:38:18 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-12 01:10:20.228604
- Title: One Is Not Enough: The Untold Story of Multiple Security Patches for One Vulnerability
- Title（参考訳）: 1つの脆弱性に対する複数のセキュリティパッチの未発表話
- Abstract要約: 本研究は,マルチSP脆弱性に関する大規模な実証的研究である。
4つの主要な脆弱性データベースをマージすることにより、16,260個のSPを持つ6,053個のマルチSP CVEのデータセットを構築する。
包括的パッチ発見のための分類駆動型プロトタイプであるSPectreを開発した。
- 参考スコア（独自算出の注目度）: 26.584464444465212
- License: http://creativecommons.org/licenses/by-nc-sa/4.0/
- Abstract: Security patches (SPs) are the main mechanism for fixing software vulnerabilities, yet a single vulnerability is not always resolved by a single patch: fixes may be completed incrementally, propagated across maintained branches, or replicated across related repositories. When patch records are incomplete, downstream users may observe only part of the required fix set and therefore apply only partial patching. However, comprehensive patch discovery remains difficult because the prevalence and causes of the multi-SP phenomenon are still poorly understood. In this paper, we present the first large-scale empirical study of multi-SP vulnerabilities. By merging four major vulnerability databases, we construct a dataset of 6,053 multi-SP CVEs with 16,260 SPs, showing that 20.6% of CVEs with patches involve multiple SPs and that merging databases increases recognized multi-SP CVE counts by 36-55% over any single source. We further analyze why a vulnerability is associated with multiple SPs and derive a two-level taxonomy with 6 categories and 16 sub-categories. Based on these findings, we develop SPectre, a taxonomy-driven prototype for comprehensive patch discovery. On 300 multi-SP CVEs, after manually verifying ground-truth SPs, SPectre improves multi-SP patch coverage over representative patch localization baselines, achieving 0.927 recall on same-repository cases and 0.873 recall on cross-repository cases after manual ground truth verification. On 100 recent CVEs recorded as single-patch by all public databases, SPectre further discovers 28 previously unreported SPs across 20 CVEs. Our results show that multi-SP vulnerabilities are both prevalent and systematically underreported, motivating stronger patch-completeness awareness, improved vulnerability database curation, and relation-aware security tooling.
- Abstract（参考訳）: ソフトウェア脆弱性を修正するための主要なメカニズムはセキュリティパッチ(SP)だが、単一の脆弱性が必ずしも単一のパッチによって解決されるわけではない。
パッチレコードが不完全であれば、ダウンストリームのユーザは必要な修正セットの一部だけを観察して、部分パッチのみを適用することができる。
しかし、マルチSP現象の頻度と原因が未だに理解されていないため、包括的パッチ発見は依然として困難である。
本稿では,マルチSP脆弱性に関する大規模な実証的研究を行う。
4つの主要な脆弱性データベースをマージすることにより、6,053個のマルチSP CVEと16,260個のSPのデータセットを構築し、パッチ付きCVEの20.6%が複数のSPを含み、マージされたデータベースは、任意のソースに対して認識されたマルチSP CVE数を36～55%増加させることを示した。
さらに、脆弱性が複数のSPと関連付けられている理由を分析し、6つのカテゴリと16のサブカテゴリを持つ2段階の分類を導出する。
これらの知見に基づき,包括的パッチ発見のための分類駆動型プロトタイプであるSPectreを開発した。
300個のマルチSP CVEにおいて、スネクターは、手動でグラウンドトルースSPを検証した後、代表パッチローカライゼーションベースラインに対するマルチSPパッチカバレッジを改善し、同じリポジトリの場合0.927リコール、手動グラウンド真理検証後のクロスリポジトリの場合0.873リコールを実現した。
すべての公開データベースでシングルパッチとして記録された100の最近のCVEで、Spectreはさらに、20のCVEで以前に報告されていない28のSPを発見している。
以上の結果から,マルチSP脆弱性は,パッチ完全性意識の向上,脆弱性データベースのキュレーションの改善,リレーショナル・アウェア・セキュリティ・ツーリングなど,広く普及し,体系的に不足していることが明らかとなった。
関連論文リスト
- Vulnerability Localization Benchmark: Measuring Agentic Security Analysis at Repository Scale [54.83971397981572]
言語モデルエージェントは、ソフトウェアリポジトリ全体を通してますます運用される。
サイバーセキュリティ評価は、関連するコードを見つけることよりも、脆弱性を検出、再生、または修復できるかどうかを測定する。
脆弱性のローカライゼーションについて検討する。弱点クラスと不慣れなリポジトリが与えられた場合、その弱点に関連する実装ファイルを特定する。
論文 参考訳（メタデータ） (2026-09-14T17:44:51Z) - CyberForge: Verified Vulnerability Injection at Repository Level for Cybersecurity Agent Training [42.087410274052836]
CyberForgeは、実際のC/C++プロジェクトに脆弱性を注入することで、実行可能なリポジトリレベルのセキュリティトレーニングデータを合成するフレームワークである。
結果として得られたコーパスには、80のプロジェクトにわたる検証済みの脆弱性1034と、63の弱点が含まれている。
このコーパスで収集された軌道の微調整により、SECのパッチの修理は+3.3から+14.7ポイント改善される。
論文 参考訳（メタデータ） (2026-08-06T18:03:27Z) - Why Not Fix It Once and for All? An Empirical Study of Multiple Patches for Vulnerability Fixes in Open-Source Software [0.28314082493466963]
本稿では,マルチパッチ脆弱性修正の体系的解析について述べる。
我々は, 根本原因, 特徴, 修復状況の検証方法に焦点をあてる。
本研究は,マルチパッチ修正に関する新たな知見を提供し,今後の研究の基盤となるものである。
論文 参考訳（メタデータ） (2026-07-14T18:57:43Z) - RAVEN: Agentic RAG for Automated Vulnerability Repair [48.8954115363348]
自動脆弱性修復のためのスケーラブルで効率的で自律的なフレームワークであるRAVENを提案する。
RAVENは、エージェント検索拡張生成(RAG)パイプラインと、制御された反復的な修復を統一されたフレームワークに統合する。
RAVENは全体の修復成功率83.13%を達成し、既存のすべての修復フレームワークを上回っている。
論文 参考訳（メタデータ） (2026-06-21T19:18:06Z) - CrossCommitVuln-Bench: A Dataset of Multi-Commit Python Vulnerabilities Invisible to Per-Commit Static Analysis [0.0]
CrossCommitVuln-Benchは15の現実のPython脆弱性のベンチマークである。
コミット毎検出率(CCDR)は15の脆弱性すべてに対して13%である。
論文 参考訳（メタデータ） (2026-04-23T17:57:50Z) - Are Benchmark Tests Strong Enough? Mutation-Guided Diagnosis and Augmentation of Regression Suites [49.16055123488827]
十分に強力なテストスイートは、報告された成功率を膨らませながら、妥当だが意味的に正しくないパッチを認めることができる。
STINGは、意味的に変化するプログラムの変種を診断ストレス要因として利用する、ターゲットテスト拡張のためのフレームワークである。
STINGは211インスタンスにまたがる1014の検証テストを生成し、パッチリージョンラインとブランチカバレッジを10.8%、9.5%向上させた。
論文 参考訳（メタデータ） (2026-04-02T01:13:40Z) - What Do They Fix? LLM-Aided Categorization of Security Patches for Critical Memory Bugs [46.325755802511026]
我々は、LLM(Large Language Model)と細調整された小言語モデルに基づく2つのアプローチを統合するデュアルメタルパイプラインであるLMを開発した。
LMは、OOBまたはUAFの脆弱性に対処する最近のLinuxカーネルのパッチ5,140のうち111つを、手作業による検証によって90の正の正が確認された。
論文 参考訳（メタデータ） (2025-09-26T18:06:36Z) - Agent KB: Leveraging Cross-Domain Experience for Agentic Problem Solving [62.71545696485824]
我々は,異種エージェントフレームワーク間のシームレスな体験共有を可能にするユニバーサルメモリ基盤であるAgent KBを紹介した。
Agent KBはトラジェクトリを構造化知識ベースに集約し、軽量APIを提供する。
我々は,GAIA,Humanity's Last Exam,GPQA,SWE-benchなどの主要フレームワークにまたがるエージェントを検証した。
論文 参考訳（メタデータ） (2025-07-08T17:59:22Z) - Fast and Accurate Silent Vulnerability Fix Retrieval [7.512949497610182]
CVEを修正するためのパッチコミットをトレース/検索する既存のアプローチは、2つの大きな課題に悩まされている。
SITPatchTracerは、既知の脆弱性パッチをトレースするスケーラブルで効果的な検索システムである。
SITPatchTracerを使って、GitHub Advisoryデータベース内の35の新しいCVEのパッチリンクをトレースしてマージしました。
論文 参考訳（メタデータ） (2025-03-29T01:53:07Z) - Fixseeker: An Empirical Driven Graph-based Approach for Detecting Silent Vulnerability Fixes in Open Source Software [12.706661324384319]
オープンソースソフトウェアの脆弱性は、ダウンストリームアプリケーションに重大なセキュリティリスクをもたらす。
多くのセキュリティパッチは、セキュリティへの影響を明確に示すことなく、OSSリポジトリの新しいコミットで静かにリリースされている。
グラフベースのアプローチであるFixseekerを提案し、ハンクレベルでのコード変更間の様々な相関関係を抽出し、無声脆弱性の修正を検出する。
論文 参考訳（メタデータ） (2025-03-26T06:16:58Z) - Repository-Level Graph Representation Learning for Enhanced Security Patch Detection [22.039868029497942]
本稿ではRepoSPDというリポジトリレベルのセキュリティパッチ検出フレームワークを提案する。
RepoSPDは,1)リポジトリレベルのグラフ構築であるRepoCPG,2)リポジトリレベルでの事前パッチと後パッチのソースコードのマージによるソフトウェアパッチの表現,2) グラフとシーケンスブランチを融合し,複数のコード変更間の関係の理解を目的とした構造対応パッチ表現,3) 意味と構造情報のバランスのモデルを容易にする進行学習,の3つの重要なコンポーネントから構成される。
論文 参考訳（メタデータ） (2024-12-11T03:29:56Z) - PatchFinder: A Two-Phase Approach to Security Patch Tracing for Disclosed Vulnerabilities in Open-Source Software [15.867607171943698]
本稿では,エンドツーエンドの相関学習を併用した2段階のフレームワークを提案する。
PatchFinderは80.63%のRecall@10、平均相反ランク(MRR)は0.7951である。
PatchFinderを実際に適用する場合、最初は533件のパッチコミットを特定し、公式に送ったのですが、そのうち482件はCVE Numbering Authoritiesによって確認されました。
論文 参考訳（メタデータ） (2024-07-24T07:46:24Z) - On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。
Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。
検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
論文 参考訳（メタデータ） (2023-06-08T20:14:46Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。