論文の概要: What Is Under the Hood? A Cross-Ecosystem Study of Vulnerable Dependencies in Construction Software

• arxiv url: http://arxiv.org/abs/2610.25774v1
• Date: Mon, 19 Oct 2026 04:38:37 GMT
• ステータス: 情報取得中
• システム内更新日: 2026-10-20 22:20:54.107989
• Title: What Is Under the Hood? A Cross-Ecosystem Study of Vulnerable Dependencies in Construction Software
• Title（参考訳）: フッドの下には何があるのか? 建設ソフトウェアにおける脆弱性依存の相互生態学的研究
• Abstract要約: 6つの構成機能と多機能カテゴリにまたがる904のビルド関連GitHubリポジトリを調査した。 本研究は, 依存度評価, 既知過敏率, 重度, 弱点分類, 上流への露出の共有について検討した。 これらの知見は,建設関連オープンソースソフトウェアにおける依存性評価と既知の脆弱性暴露の実証的ベースラインを確立した。
• 参考スコア（独自算出の注目度）: 0.12277343096128711
• License:
• Abstract: The construction industry increasingly relies on software built from third-party components, yet the dependency composition and known-vulnerability exposure of construction-related software remain poorly analyzed. In this study, we conduct an empirical, cross-ecosystem investigation of 904 construction-related GitHub repositories spanning six construction functions and a multifunction category. Using commit-pinned repository snapshots and OSV-Scanner, we examine dependency assessability, known-vulnerability prevalence, severity, weakness classifications, and shared upstream exposure. Our results reveal that only 494 repositories (54.6%) completed vulnerability assessment, revealing substantial gaps in dependency visibility. Among successfully scanned repositories, 395 (80.0%) contained at least one dependency version associated with a published vulnerability advisory, and 97.2% of affected repositories contained a High or Critical severity risk. Additionally, Common Weakness Enumeration (CWE) mapping identified recurring resource-consumption, path-traversal, information-exposure, and code-injection weaknesses. Vulnerability burden was uneven, with a median of 50 distinct advisory clusters per affected repository, while just two affected upstream package families collectively reached ~70% of affected repositories. These findings establish an empirical baseline for dependency assessability and known-vulnerability exposure in construction-related open-source software. Our findings underscore the importance of documenting assessment coverage, interpreting advisory matches in their deployment context, and examining shared upstream dependencies when evaluating construction software supply-chain security.
• Abstract（参考訳）: 建設業界はますます、サードパーティのコンポーネントから構築されたソフトウェアに依存しているが、ビルドに関連するソフトウェアへの依存性の構成と既知の脆弱性の暴露は、分析に乏しいままである。 本研究では,6つの構築機能と多機能カテゴリにまたがる904のビルド関連GitHubリポジトリについて,実証的研究を行った。 コミットピン付リポジトリスナップショットとOSV-Scannerを用いて、依存関係評価、既知の脆弱性の頻度、重大度、弱点分類、アップストリーム露出の共有について検討する。 結果、脆弱性評価を完了したのは494リポジトリ(54.6%)で、依存関係の可視性にかなりのギャップがあることが判明した。 スキャンに成功したリポジトリのうち、395(80.0%)は、公表された脆弱性アドバイザリに関連する少なくとも1つの依存性バージョンを含んでおり、97.2%の影響を受けるリポジトリは、高いまたは致命的な重症度リスクを含んでいた。 さらに、Common Weakness Enumeration (CWE)マッピングでは、繰り返し発生するリソース消費、パストラバーサル、情報公開、コードインジェクションの弱点が特定された。 脆弱性の負担は不均一で、影響のあるリポジトリ毎に50の異なるアドバイザリクラスタが中央値であり、2つの影響を受ける上流パッケージファミリが影響のあるリポジトリの約70%に達した。 これらの知見は,建設関連オープンソースソフトウェアにおける依存性評価と既知の脆弱性暴露の実証的ベースラインを確立した。 本研究は,アセスメントカバレッジの文書化,デプロイメントコンテキストにおけるアドバイザリマッチの解釈,ビルドソフトウェアサプライチェーンセキュリティの評価における上流依存性の共有などの重要性を明らかにするものである。

関連論文リスト

• Vulnerability Localization Benchmark: Measuring Agentic Security Analysis at Repository Scale [54.83971397981572]
  言語モデルエージェントは、ソフトウェアリポジトリ全体を通してますます運用される。 サイバーセキュリティ評価は、関連するコードを見つけることよりも、脆弱性を検出、再生、または修復できるかどうかを測定する。 脆弱性のローカライゼーションについて検討する。弱点クラスと不慣れなリポジトリが与えられた場合、その弱点に関連する実装ファイルを特定する。
  論文  参考訳（メタデータ） (2026-09-14T17:44:51Z)
• An Empirical Security Analysis of Open-Source Software Used in Onboard Satellite Systems [23.945232225255364]
  衛星飛行システムにおけるオープンソースソフトウェア (OSS) の利用は、ミッションが再利用可能なフレームワーク、共有ライブラリ、コミュニティが維持するコンポーネントを採用するにつれて増加している。 本稿では,衛星搭載システムにおけるOSSの安全性に関する実証的研究について述べる。 我々は、材料生成のソフトウェア請求書、ソフトウェア構成分析、静的アプリケーションセキュリティテスト、インフラストラクチャ・アズ・コード分析、シークレットスキャンを組み合わせたパイプラインを使用して、126のパブリックリポジトリを分析した。
  論文  参考訳（メタデータ） (2026-09-14T11:54:35Z)
• RepoMirage: Probing Repository Context Reasoning in Code Agents with Perturbations [51.43574078961796]
  本稿では,SWE-Bench Verified上に構築された2段階評価スイートRepoMirageを紹介する。 RepoMirage-Perturbは、リポジトリレベルの摂動を保存する3つのタイプのセマンティクスを適用している。 RepoAnchorは、下流の問題解決からリポジトリの探索を分離する構造第一のプロトタイプワークフローである。
  論文  参考訳（メタデータ） (2026-05-25T06:26:43Z)
• Benchmarking Knowledge-Extraction Attack and Defense on Retrieval-Augmented Generation [50.87199039334856]
  Retrieval-Augmented Generation (RAG) は知識集約型アプリケーションの基礎となっている。 近年の研究では、悪意あるクエリによって知識抽出攻撃が機密知識ベースコンテンツを回復できることが示されている。 本稿では,RAGシステムに対する知識抽出攻撃のための最初の体系的ベンチマークを紹介する。
  論文  参考訳（メタデータ） (2026-02-10T01:27:46Z)
• Uncovering Hidden Inclusions of Vulnerable Dependencies in Real-World Java Projects [2.337931591219808]
  Javaにおける依存性スキャンへのハイブリッドアプローチであるUnshadeを紹介します。 メタデータベースのスキャニングの効率性と、コード中心のアプローチの依存関係の変更を検出する機能を組み合わせる。 私たちはGitHubで、最も人気のある1,808のJava Mavenプロジェクトについて大規模な調査を行いました。
  論文  参考訳（メタデータ） (2026-01-30T14:30:04Z)
• Why Authors and Maintainers Link (or Don't Link) Their PyPI Libraries to Code Repositories and Donation Platforms [83.16077040470975]
  Python Package Index(PyPI)上のライブラリのメタデータは、オープンソースライブラリの透明性、信頼性、持続性をサポートする上で重要な役割を果たす。 本稿は,5万PyPIの著者とメンテナに送付された2つの対象調査を組み合わせた大規模実証研究である。 我々は,大規模言語モデル(LLM)に基づくトピックモデリングを用いて1,400以上の応答を分析し,リポジトリと寄付プラットフォームのリンクに関連する重要なモチベーションと障壁を明らかにする。
  論文  参考訳（メタデータ） (2026-01-21T16:13:57Z)
• Trust, but Verify: Evaluating Developer Behavior in Mitigating Security Vulnerabilities in Open-Source Software Projects [0.11999555634662631]
  本研究では,オープンソースソフトウェア(OSS)プロジェクトの依存関係の脆弱性について検討する。 古い依存関係やメンテナンスされていない依存関係に共通する問題を特定しました。 その結果, 直接的な依存関係の削減と, 強力なセキュリティ記録を持つ高度に確立されたライブラリの優先順位付けが, ソフトウェアセキュリティの状況を改善する効果的な戦略であることが示唆された。
  論文  参考訳（メタデータ） (2024-08-26T13:46:48Z)
• Dependency Practices for Vulnerability Mitigation [4.710141711181836]
  npmエコシステムの450以上の脆弱性を分析し、依存するパッケージが脆弱なままである理由を理解します。 依存関係によって感染した20万以上のnpmパッケージを特定します。 私たちは9つの機能を使って、脆弱性修正を迅速に適用し、脆弱性のさらなる伝播を防ぐパッケージを特定する予測モデルを構築しています。
  論文  参考訳（メタデータ） (2023-10-11T19:48:46Z)
• On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
  Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。 Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。 検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
  論文  参考訳（メタデータ） (2023-06-08T20:14:46Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。