Key points are not available for this paper at this time.
Os testes são o método mais amplamente empregado para encontrar vulnerabilidades em programas de software do mundo real. A análise composicional, baseada em execução simbólica, é um método de teste automatizado para encontrar vulnerabilidades em programas de médio a grande porte que consistem em muitos componentes interativos. No entanto, os frameworks de análise composicional existentes não avaliam a gravidade das vulnerabilidades relatadas. Neste artigo, apresentamos um framework para analisar vulnerabilidades descobertas por uma ferramenta de análise composicional existente e atribuir pontuações CVSS3 (Common Vulnerability Scoring System v3.0) a elas, com base em várias heurísticas, como interação com componentes relacionados, facilidade de acessibilidade, complexidade de design e probabilidade de aceitar entrada não sanitizada. Ao analisar vulnerabilidades relatadas com pontuações CVSS3 no passado, treinamos modelos simples de aprendizado de máquina. Ao apresentar nosso framework interativo a desenvolvedores de software open-source populares e outros especialistas em segurança, coletamos feedback sobre nossos modelos treinados e melhoramos ainda mais as características para aumentar a precisão de nossas previsões. Ao fornecer evidências qualitativas (baseadas no feedback da comunidade) e quantitativas (baseadas na precisão da previsão) de 21 programas open-source, mostramos que nosso framework de previsão de gravidade pode efetivamente ajudar os desenvolvedores a avaliar vulnerabilidades.
Ognawala et al. (Mon,) estudaram essa questão.