論文の概要: An Empirical Analysis of ReDoS Vulnerabilities and ReDoS Detection Tools
- arxiv url: http://arxiv.org/abs/2609.10294v1
- Date: Wed, 09 Sep 2026 15:09:34 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-10 19:44:09.075162
- Title: An Empirical Analysis of ReDoS Vulnerabilities and ReDoS Detection Tools
- Title（参考訳）: ReDoS脆弱性とReDoS検出ツールの実証分析
- Abstract要約: ReDoS脆弱性は、サービスソフトウェアの弱点を否定するタイプのものだ。
公開可能な5つの検出ツールと1つの修正ツールの有効性を3つのデータセットを用いて比較した。
ReDoSの脆弱性は普及しており、ReDoS以外の脆弱性よりも悪用される可能性が高い。
- 参考スコア（独自算出の注目度）: 3.7623606729515138
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: ReDoS vulnerabilities are a type of denial of service software weakness that occurs when a regex is used to validate user-supplied input. In some cases, the regex matching process can take exponential time, leading to a denial of service. In this study, we examine and compare the effectiveness of five publicly-available regex detection tools, and one regex correction tool, using three datasets. We further perform an empirical analysis of all ReDoS vulnerabilities reported to the NVD database in order to understand how they differ from non-ReDoS vulnerabilities and glean insights about this type of weakness. We find that ReDoS vulnerabilities are becoming more prevalent and are much more likely to be exploited than non-ReDoS vulnerabilities. We further find that detection tools exhibit substantial disagreement on whether or not a given regex is vulnerable.
- Abstract（参考訳）: ReDoS脆弱性は、ユーザからの入力を検証するためにregexを使用した場合に発生する、サービスソフトウェアの弱点の一種である。
場合によっては、regexマッチングプロセスは指数関数的な時間を要し、サービスの否定につながります。
本研究では,公開可能な5つのRegex検出ツールと1つのRegex修正ツールの有効性を3つのデータセットを用いて検討・比較した。
さらに、NVDデータベースに報告されたすべてのReDoS脆弱性を実証分析して、非ReDoS脆弱性とどのように異なるのかを理解し、この種の脆弱性について精査する。
ReDoSの脆弱性は普及しており、ReDoS以外の脆弱性よりも悪用される可能性が高い。
さらに、検出ツールが、与えられたRegexが脆弱であるかどうかについて、かなりの不一致を示すことが判明した。
関連論文リスト
- Vulnerability Localization Benchmark: Measuring Agentic Security Analysis at Repository Scale [54.83971397981572]
言語モデルエージェントは、ソフトウェアリポジトリ全体を通してますます運用される。
サイバーセキュリティ評価は、関連するコードを見つけることよりも、脆弱性を検出、再生、または修復できるかどうかを測定する。
脆弱性のローカライゼーションについて検討する。弱点クラスと不慣れなリポジトリが与えられた場合、その弱点に関連する実装ファイルを特定する。
論文 参考訳（メタデータ） (2026-09-14T17:44:51Z) - Regular Expression Denial of Service Induced by Backreferences [13.04731556594332]
本稿では,Regular Expressions with Backreferences (REwB)におけるDenial-of-serviceの脆弱性に関する最初の体系的研究について述べる。
Two-Phase Memory Automaton (2PMFA) を用いて、バック参照がスーパーリニアなバックトラック実行を誘発する必要条件を導出する。
脆弱性パターンを3つ同定し,検出アルゴリズムとアタックコンストラクションアルゴリズムを開発し,実際に検証する。
論文 参考訳（メタデータ） (2026-02-25T00:23:50Z) - Explaining Software Vulnerabilities with Large Language Models [35.74179339347328]
SASTツールが検出した脆弱性の原因, 影響, 緩和戦略を説明するため, GPT-4oを利用した統合開発環境(IDE)プラグインであるSAFEを提案する。
専門的なユーザ調査の結果から,SAFEが生成した説明は,セキュリティ脆弱性の理解と対処において,初心者から中間開発者への大きな助けとなることが示唆された。
論文 参考訳（メタデータ） (2025-11-06T08:30:56Z) - Scalable and Robust LLM Unlearning by Correcting Responses with Retrieved Exclusions [49.55618517046225]
Webスケールのコーパスリスクを記憶し、センシティブな情報を暴露する言語モデル。
本稿では,新しいアンラーニングフレームワークであるCorrective Unlearning with Retrieved Exclusions (CURE)を提案する。
CUREは、リークのモデル出力を確認し、安全な応答に修正する。
論文 参考訳（メタデータ） (2025-09-30T09:07:45Z) - VulAgent: Hypothesis-Validation based Multi-Agent Vulnerability Detection [55.957275374847484]
VulAgentは仮説検証に基づくマルチエージェント脆弱性検出フレームワークである。
セマンティクスに敏感なマルチビュー検出パイプラインを実装しており、それぞれが特定の分析の観点から一致している。
平均して、VulAgentは全体的な精度を6.6%改善し、脆弱性のある固定されたコードペアの正確な識別率を最大450%向上させ、偽陽性率を約36%削減する。
論文 参考訳（メタデータ） (2025-09-15T02:25:38Z) - Weakly Supervised Vulnerability Localization via Multiple Instance Learning [46.980136742826836]
WeAkly によるマルチプルインスタンス学習による脆弱性ローカライゼーションのための WAVES という新しい手法を提案する。
WAVESは、ある関数が脆弱かどうか(すなわち脆弱性検出)を判定し、脆弱なステートメントをピンポイントする機能を持っている。
提案手法は,文レベルの脆弱性ローカライゼーションにおいて,脆弱性検出と最先端のパフォーマンスにおいて同等のパフォーマンスを実現する。
論文 参考訳（メタデータ） (2025-09-14T15:11:39Z) - VulnRepairEval: An Exploit-Based Evaluation Framework for Assessing Large Language Model Vulnerability Repair Capabilities [41.85494398578654]
VulnRepairEvalは、関数型Proof-of-Conceptエクスプロイトに固定された評価フレームワークである。
我々のフレームワークは、再現可能な微分評価を可能にする包括的でコンテナ化された評価パイプラインを提供する。
論文 参考訳（メタデータ） (2025-09-03T14:06:10Z) - The Impact of SBOM Generators on Vulnerability Assessment in Python: A Comparison and a Novel Approach [56.4040698609393]
Software Bill of Materials (SBOM) は、ソフトウェア構成における透明性と妥当性を高めるツールとして推奨されている。
現在のSBOM生成ツールは、コンポーネントや依存関係を識別する際の不正確さに悩まされることが多い。
提案するPIP-sbomは,その欠点に対処する新しいピップインスパイアされたソリューションである。
論文 参考訳（メタデータ） (2024-09-10T10:12:37Z) - Static Application Security Testing (SAST) Tools for Smart Contracts: How Far Are We? [14.974832502863526]
近年,スマートコントラクトセキュリティの重要性が高まっている。
この問題に対処するため、スマートコントラクトの脆弱性を検出するために、多数の静的アプリケーションセキュリティテスト(SAST)ツールが提案されている。
本稿では,スマートコントラクトに対する45種類の脆弱性を含む,最新のきめ細かな分類法を提案する。
論文 参考訳（メタデータ） (2024-04-28T13:40:18Z) - Toward Improved Deep Learning-based Vulnerability Detection [2.482408071920832]
データセットの脆弱性は、コード行、関数、あるいは脆弱性が存在するプログラムスライスなど、特定の方法で表現する必要がある。
検出器は、基地ユニットがどのように脆弱であるかを学び、その後、他の基地ユニットが脆弱かどうかを予測する。
我々は、個々のベースユニットに焦点をあてることが、複数のベースユニットにまたがる脆弱性を正しく検出する検出器の能力を損なうと仮定した。
本研究は,MBU脆弱性の適切な適用に向けて,DLベースの検出を支援するためのフレームワークについて紹介する。
論文 参考訳（メタデータ） (2024-03-05T14:57:28Z) - SliceLocator: Locating Vulnerable Statements with Graph-based Detectors [33.395068754566935]
SliceLocatorは、すべての潜在的な脆弱性トリガリングステートメントから、最も重み付けされたフローパスを選択することで、最も関連性の高いテントフローを特定する。
SliceLocatorは、最先端の4つのGNNベースの脆弱性検知器で一貫して動作することを示す。
論文 参考訳（メタデータ） (2024-01-05T10:15:04Z) - A Systematic Evaluation of Automated Tools for Side-Channel Vulnerabilities Detection in Cryptographic Libraries [6.826526973994114]
文献を調査し,34のサイドチャネル検出フレームワークの分類を行った。
次に、5つの有望な検出ツールの選択に基づいて、代表的な暗号操作のベンチマークを構築しました。
最近公開されたサイドチャネル脆弱性の分類を提供する。
既存のツールでは,SIMD命令のサポートの欠如,暗黙のフロー,内部シークレット生成など,さまざまな理由から脆弱性を見つけるのに苦労しています。
論文 参考訳（メタデータ） (2023-10-12T09:18:26Z) - REEF: A Framework for Collecting Real-World Vulnerabilities and Fixes [40.401211102969356]
本稿では,REal-world vulnErabilities and Fixesをオープンソースリポジトリから収集するための自動収集フレームワークREEFを提案する。
脆弱性とその修正を収集する多言語クローラを開発し、高品質な脆弱性修正ペアをフィルタするためのメトリクスを設計する。
大規模な実験を通じて,我々の手法が高品質な脆弱性修正ペアを収集し,強力な説明を得られることを示す。
論文 参考訳（メタデータ） (2023-09-15T02:50:08Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。