VFCFinder：无缝配对安全公告与补丁
密码学与安全
2023-11-06 v1
摘要
安全公告是开源软件中已发现漏洞的主要沟通渠道，但它们常常缺乏关键信息。具体而言，63% 的漏洞数据库报告缺失其补丁链接，亦称为漏洞修复提交（VFCs）。本文介绍 VFCFinder，一种利用自然语言-编程语言（NL-PL）模型为给定安全公告生成排名前五的 VFC 集合的工具。VFCFinder 在 Top-5 提交中找到正确 VFC 的召回率为 96.6%，在 Top-1 排名提交中的召回率为 80.0%。VFCFinder 可泛化至九种不同的编程语言，并在 Top-1 召回率上以 36 个百分点优于最先进的方法。作为一项实际贡献，我们使用 VFCFinder 回填了 GitHub 安全公告（GHSA）数据库中超过 300 个缺失的 VFC。所有 VFC 均被接受并合并入 GHSA 数据库。除了展示安全公告与 VFC 的实际配对外，我们的通用开源实现将使漏洞数据库维护者能够大幅提升数据质量，支持保护软件供应链的努力。
引用
@article{arxiv.2311.01532,
title = {VFCFinder: Seamlessly Pairing Security Advisories and Patches},
author = {Trevor Dunlap and Elizabeth Lin and William Enck and Bradley Reaves},
journal= {arXiv preprint arXiv:2311.01532},
year = {2023}
}