Java 项目第三方库漏洞的兼容修复
软件工程
2023-01-23 v1
摘要
随着开源软件漏洞披露日益增多,软件成分分析(SCA)已被广泛用于揭示软件项目中的第三方库及相关漏洞。除揭示外,SCA 工具采用多种修复策略修复漏洞,其质量差异显著。然而,无效修复可能引发编译失败等副作用,阻碍用户采纳。据本研究,现有 SCA 工具未能正确处理用户对修复后项目兼容性的关切。为此,我们提出面向 Maven 项目的第三方库兼容修复(CORAL),在不破坏项目前提下修复漏洞。评估证明,CORAL 不仅修复了 87.56% 的漏洞,优于其他工具(最佳 75.32%),且实现了 98.67% 编译成功率与 92.96% 单元测试成功率。此外,我们发现流行 Maven 项目中 78.45% 的漏洞可在不破坏编译下修复,其余(21.55%)漏洞可通过破坏编译的升级修复,或甚至无法通过升级修复。
引用
@article{arxiv.2301.08434,
title = {Compatible Remediation on Vulnerabilities from Third-Party Libraries for Java Projects},
author = {Lyuye Zhang and Chengwei Liu and Zhengzi Xu and Sen Chen and Lingling Fan and Lida Zhao and Jiahui Wu and Yang Liu},
journal= {arXiv preprint arXiv:2301.08434},
year = {2023}
}
备注
11 pages, conference