paperbot · PL 论文追踪

全部论文 待读 收藏

P2 Precise (Un)Affected Version Analysis for Web Vulnerabilities

面向 Web 漏洞的精确受影响/未受影响版本分析
ASE Proceedings of the 37th IEEE/ACM International Conference on Automated Software Engineering2022匹配度 2/10 · 该论文属于程序分析与安全漏洞版本分析,虽涉及静态分析/抽象解释,但研究目标为Web漏洞受影响版本判定,与用户关注的PL与LLM/Agent交叉、浮点程序分析、贝叶斯程序分析等核心方向无明显关联。引用 9 inbox
Youkun Shi, Yuan Zhang, Tianhan Luo, Xiangyu Mao, Min Yang
crossref: 2026-09-12

AI 速览

一句话:提出面向 Web 漏洞的受影响/未受影响版本精确自动分析,以改善公共漏洞库版本信息质量。

Web 应用因流行且漏洞众多而成为攻击目标,漏洞的受影响版本是缓解威胁的重要信息。然而,要准确维护该信息非常困难:确认某个版本是否受影响需要安全专业知识与大量人力,而通常有数百个版本待检查,导致几乎所有公共漏洞数据库中的版本信息质量偏低。本文研究面向 Web 漏洞的精确受影响/未受影响版本分析,目标是提供一种能自动且精确地将大量软件版本判定为受影响或未受影响的工具。摘要强调该工具可处理很大一部分(即使不是全部)版本,从而提升漏洞影响范围信息的自动化与准确性;具体方法与评估细节未在摘要中展开。

问题
公共漏洞库中的受影响版本信息普遍低质量,而人工确认数百个版本是否受影响成本高、依赖安全专家经验。
方法
提出或构建自动化的精确(未)受影响版本分析工具,对大量 Web 软件版本判定其是否受特定漏洞影响。
评估
摘要未详述具体实验,目标是在大量版本上自动且精确地完成受影响/未受影响判定,即使不能覆盖全部版本。
原文摘要(Abstract)

Web applications are attractive attack targets given their popularity and large number of vulnerabilities. To mitigate the threat of web vulnerabilities, an important piece of information is their affected versions. However, it is non-trivial to build accurate affected version information because confirming a version as affected or unaffected requires security expertise and huge efforts, while there are usually hundreds of versions to examine. As a result, such information is maintained in a low-quality manner in almost every public vulnerability database. Therefore, it is extremely useful to have a tool that can automatically and precisely examine a large part (even if not all) of the software versions as affected or unaffected.

链接与引用

DOI 原文 · PDF(开放获取) ·

BibTeX
@inproceedings{paperbot7180,
  title = {Precise (Un)Affected Version Analysis for Web Vulnerabilities},
  author = {Youkun Shi and Yuan Zhang and Tianhan Luo and Xiangyu Mao and Min Yang},
  booktitle = {ASE},
  year = {2022},
  doi = {10.1145/3551349.3556933}
}