재발하는 소프트웨어 취약점 탐지

소프트웨어 보안 취약점은 거의 매일 발견되며 상당한 피해를 초래했습니다. 이를 조기에 감지하고 해결하는 것을 목표로, 우리는 수천 개의 취약점을 대상으로 경험적 연구를 수행했으며, 많은 취약점이 소프트웨어 재사용으로 인해 재발한다는 사실을 발견했습니다. 연구를 통해 얻은 지식을 바탕으로, 소스 코드나 라이브러리를 재사용하는 시스템에서 재발하는 소프트웨어 취약점을 자동으로 감지하는 도구인 SecureSync를 개발했습니다. SecureSync의 핵심은 서로 다른 시스템에서 취약한 코드의 유사성을 나타내고 계산하는 두 가지 기술을 포함합니다. 119개의 오픈 소스 소프트웨어 시스템의 176개 릴리스에서 60개의 취약점에 대한 평가 결과, SecureSync는 재발하는 취약점을 높은 정확도로 감지하고, 보고되거나 수정되지 않은 잠재적으로 취약한 코드가 포함된 90개의 릴리스를 식별할 수 있음을 보여줍니다. 몇 가지 사례는 실제로 개발자에 의해 확인되었습니다.