論文の概要: A Fine-Grained Empirical Study of Upstream Security Events and Downstream Mitigation in Maven

• arxiv url: http://arxiv.org/abs/2610.36603v1
• Date: Tue, 27 Oct 2026 04:04:34 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-28 21:04:31.480696
• Title: A Fine-Grained Empirical Study of Upstream Security Events and Downstream Mitigation in Maven
• Title（参考訳）: Mavenにおける上流セキュリティイベントと下流緩和に関する微粒化実証的研究
• Abstract要約: ダウンストリームの露出は、アップストリームリリースの遅れ、ダウンストリームの採用の遅れ、あるいはその両方に起因する。 上流の修正から各下流プロジェクトによる採用に至るまで,Mavenエコシステムでは832のCVEをフォローしています。 これらの知見を,上流のメンテナや下流の開発者,依存関係自動化ツールといった意味に翻訳する。
• 参考スコア（独自算出の注目度）: 5.2853407738305
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Open-source vulnerability mitigation spans upstream libraries and the downstream projects that depend on them. Upstream, a vulnerability progresses through a public report when one exists, a fix, a fixed release, and NVD disclosure. Downstream, a project mitigates it by adopting the fixed release, and the timeliness of this adoption is measured relative to these events. Prior work studies the two sides separately, so it is unclear whether downstream exposure stems from delayed upstream release, delayed downstream adoption, or both. We address this gap by following 832 CVEs in the Maven ecosystem from the upstream fix to its adoption by each exposed downstream project. We classify upstream fixes as \textit{silent} or \textit{transparent}, recover the order of report, fix, release, and NVD disclosure, and link vulnerable artifacts to their downstream dependents. We then compare this order with downstream adoption and dependabot usage. We find that delay arises on both sides. Upstream, the fixed release comes before NVD disclosure for about 82\% of CVEs, for both silent and transparent fixes. For the other 17.9\%, downstream projects have no fix to adopt for days to more than four months after disclosure. Downstream, exposure is concentrated, with the top 10\% of CVEs accounting for 72.1\% of it. Of 1,677 observed adoptions, 85.3\% happen after NVD disclosure, rising to 88.3\% for silent fixes released before disclosure. Most adoptions come through routine dependency updates. Adoptions with dependabot version updates have a median release-to-adoption delay of 10.4 days, compared with 110.6 days without dependabot. Yet version updates were configured at adoption time for only 8.5\% of total adoptions. We translate these findings into implications for upstream maintainers, downstream developers, and dependency-automation tools.
• Abstract（参考訳）: オープンソースの脆弱性軽減は、上流のライブラリとそれに依存する下流のプロジェクトにまたがる。 上流では、脆弱性は存在すれば公開レポート、修正、修正リリース、NVD開示を通じて進行する。 下流では、プロジェクトは固定リリースを採用することでそれを緩和し、この採用のタイムラインはこれらのイベントに対して測定される。 先行研究では両者を別々に研究していたため,下流への露出が上流への放出の遅れ,下流への導入の遅れ,あるいはその両方に起因するかは明らかでない。 このギャップに対処するため、Mavenエコシステムの832のCVEを上流の修正から、各下流プロジェクトによる採用まで追跡します。 アップストリームの修正を \textit{silent} あるいは \textit{transparent} に分類し、レポートの順序、修正、リリース、NVDの開示を復元し、脆弱なアーティファクトを下流依存物にリンクする。 次に、この順序をダウンストリームの採用とDependabotの利用と比較します。 両面に遅れが生じていることが分かります。 上流では、固定リリースがNVD公開の前に、サイレントと透明の両方の修正のために、約82倍のCVEで提供される。 その他の17.9\%では、下流のプロジェクトは公開後数日から4ヶ月以上は採用されない。 下流では露出が集中しており、CVEの上位10倍が72.1倍である。 1,677 件のうち 85.3 % はNVD の公表後に発生し、公開前に公表されたサイレントフィックスの 88.3 % まで上昇した。 ほとんどの採用は、定期的な依存関係更新によって行われる。 dependabotのバージョンアップデートの採用は10.4日と中央値の遅延があるが、Rediabotなしでは110.6日である。 しかし、バージョンアップデートは採用時に設定され、総採用率の8.5\%に過ぎなかった。 これらの知見を,上流のメンテナや下流の開発者,依存関係自動化ツールといった意味に翻訳する。

関連論文リスト

• Future Anchored Verification and Online Recovery for World Action Models [50.72957480806238]
  世界アクションモデル(WAM)は、ロボット操作のための有望なパラダイムとして登場した。 我々は、WAMが行動する前に予測した未来が、通過する意図のある状態を正確に表現しているのを観察する。 予測フレームをアンカーとして保持し,検証とリカバリに使用する軽量フレームワークであるFAVORを紹介する。
  論文  参考訳（メタデータ） (2026-10-05T13:08:58Z)
• An Exploratory Study of Dependabot Cooldown Adoption in Open-Source GitHub Projects [2.385829414517223]
  GitHubは、Dependabotをソフトウェアサプライチェーン攻撃に対する防御として一般に利用可能にした。 セキュリティに関する懸念は、92件のイベントのうち83件を、既知のモチベーションによって動機づけた。 アーリーアダプターは、きめ細かいコントロールよりも単純なデフォルト遅延を好む。
  論文  参考訳（メタデータ） (2026-09-15T04:02:08Z)
• PatchRisk: Forecasting Future Vulnerability Exposure in Open-Source Dependency Networks [0.42821598129654453]
  オープンソースアドバイザリとdeps.dev依存グラフからnpmとPyPIのリーク対応ベンチマークを構築した。 TimeOnly、GraphStruct、HistoryGraphの3つの機能ファミリを評価します。
  論文  参考訳（メタデータ） (2026-09-12T05:09:17Z)
• Correct Code, Vulnerable Dependencies: A Large Scale Measurement Study of LLM-Specified Library Versions [52.50730821321986]
  大規模言語モデル(LLM)におけるバージョンレベルのリスクの大規模評価を初めて行った。 我々は1000のStack OverflowプログラミングタスクのベンチマークであるPinTrace上で10のLLMを評価した。 LLM バージョン選択は LLM ベース開発における第1級, 以前は見落とされたリスクサーフェスとして確認された。
  論文  参考訳（メタデータ） (2026-05-07T13:52:59Z)
• MALTA: Maintenance-Aware Technical Lag, Estimation to Address Software Abandonment [0.0]
  オープンソースエコシステムは、持続的なパッケージメンテナンスに依存している。 Version Lagのような既存のTechnical Lagメトリクスは、アクティブにメンテナンスされたパッケージと放棄されたパッケージの区別に苦労している。 本稿では,3つの指標からなるスコアリングフレームワークであるMALTA(Container-Aware Lag and Technical Abandonment)を紹介する。
  論文  参考訳（メタデータ） (2026-03-10T22:50:38Z)
• What Do They Fix? LLM-Aided Categorization of Security Patches for Critical Memory Bugs [46.325755802511026]
  我々は、LLM(Large Language Model)と細調整された小言語モデルに基づく2つのアプローチを統合するデュアルメタルパイプラインであるLMを開発した。 LMは、OOBまたはUAFの脆弱性に対処する最近のLinuxカーネルのパッチ5,140のうち111つを、手作業による検証によって90の正の正が確認された。
  論文  参考訳（メタデータ） (2025-09-26T18:06:36Z)
• Dependency Update Adoption Patterns in the Maven Software Ecosystem [0.0]
  依存関係の更新は、依存するソフトウェアコンポーネントをバグやセキュリティ上の脆弱性、コード品質の低下から保護する。 Mavenエコシステムにおける採用遅延は、ログ正規分布に従っているのに対して、採用範囲は指数関数的な崩壊分布を示しています。
  論文  参考訳（メタデータ） (2025-04-09T22:24:31Z)
• Discovery of Timeline and Crowd Reaction of Software Vulnerability Disclosures [47.435076500269545]
  Apache Log4Jはリモートコード実行攻撃に対して脆弱であることが判明した。 35,000以上のパッケージが最新バージョンでLog4Jライブラリをアップデートせざるを得なかった。 ソフトウェアベンダが脆弱性のないバージョンをリリースするたびに、ソフトウェア開発者がサードパーティのライブラリを更新するのは、事実上妥当です。
  論文  参考訳（メタデータ） (2024-11-12T01:55:51Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。