論文「Triggering and Detecting Exploitable Library Vulnerability from the Client by Directed Greybox Fuzzing」の技術的サマリー

この論文は、サードパーティ製ライブラリ（TPL）の脆弱性が、それを呼び出すクライアントプログラムから実際に悪用可能かどうかを検出するための新しいアプローチ**「LiveFuzz」**を提案するものです。既存の手法は概念実証（PoC）に依存していましたが、LiveFuzz は PoC が存在しない状況でも、**指向性グレーボックスファジング（Directed Greybox Fuzzing: DGF）**を拡張することで、ライブラリ脆弱性の悪用可能性をクライアントプログラムから直接検出することを可能にします。

以下に、問題定義、手法、主要な貢献、結果、および意義について詳細にまとめます。

1. 問題定義 (Problem)

• 背景: 開発者は生産性向上のためにサードパーティ製ライブラリを多用していますが、これによりクライアントプログラムに脆弱性が伝播するリスクがあります（例：Log4Shell）。
• 既存手法の限界:
  • 到達可能性分析: 脆弱な関数が呼び出されるかのみを確認するため、誤検知（False Positive）が多い。
  • テスト生成手法: 脆弱性をトリガーするテストケースを生成するが、多くの場合PoC（Proof-of-Concept）の存在に依存している。しかし、多くの脆弱性には公開された PoC が存在しない。
• 課題: PoC がなくても、クライアントプログラムからライブラリ脆弱性を悪用可能かどうかを検出する必要がある。
• DGF 適用時の課題:
  1. 短い経路への偏り: 既存の DGF は、ターゲットまでの距離が短い経路を優先する傾向がある。しかし、ライブラリとクライアントの境界を跨ぐ複雑な経路（パスエクスプロージョン）では、長い経路でも重要な経路が見逃される可能性がある。
  2. 過剰な変異（Excessive Mutation）: クライアント側の検証ロジックを通過した後にライブラリに到達する必要があるが、既存の DGF はプログラム境界を考慮せず粗粒度の変異を行うため、重要な制約条件（例：特定のフラグ値）が破られ、ターゲットに到達できなくなる。

2. 手法：LiveFuzz (Methodology)

LiveFuzz は、従来の DGF を「クロスプログラム（クライアント＋ライブラリ）」のシナリオに拡張するために、以下の 3 つの中核モジュールを提案しています。

A. ターゲットタプルの構築 (Target Tuple Construction)

• 概念: 単一のターゲット地点ではなく、**「呼び出し元ターゲット（Caller Targets: CT）」と「脆弱性ターゲット（Vulnerability Targets: VT）」**のペア $\langle CT, VT \rangle$ をターゲットとして定義します。
• 仕組み:
  • CT: クライアントプログラム内でライブラリ関数を呼び出す関数の基本ブロック。
  • VT: ライブラリ内の脆弱性関数の基本ブロック。
• 効果: これにより、クライアントとライブラリという異なるコンテキスト内での距離計算を統合し、単一プログラムの DGF として扱うことを可能にします。

B. 抽象経路マッピング (Abstract Path Mapping)

• 目的: 異なる到達可能経路にあるシード（テストケース）を公平に比較し、短い経路への偏りを解消します。
• 仕組み:
  • 絶対的な距離ではなく、相対的な実行進捗に基づいてシードのリスクを評価します。
  • 経路の長さを推定し、ターゲットまでの距離をその経路長で正規化します（$A^*$ 探索のヒューリスティック $f(n) = g(n) + h(n)$ に着想を得ています）。
  • これにより、経路が長くても、その経路上での相対的な進捗が良いシードを適切に評価し、見逃しを防ぎます。

C. リスクベース適応変異 (Risk-Based Adaptive Mutation)

• 目的: 過剰な変異を抑制し、シードのリスクに応じて変異戦略を最適化します。
• 仕組み:
  • 電力スケジューリング: シードのリスク（ターゲットに近い度合い）に基づいて、変異に割り当てる電力を調整します。
  • 変異オペレータの適応: シードがリスクが高い（ライブラリに到達し、脆弱性に近い）場合、**微細粒度（Fine-grained）**な変異（ビット反転、1 バイト置換など）の比率を増やし、既存の制約条件を壊さずに深部を探査します。逆に、リスクが低い場合は広範な探索を促す粗粒度変異を多用します。
  • これにより、ランダムな変異選択による「過剰変異」の問題を緩和します。

3. 主要な貢献 (Key Contributions)

1. 新しい抽象経路マッピング機構の提案: 実行経路を統一的な抽象経路に投影することで、異なる経路にあるシードを公平に比較し、経路の長さによるバイアスを排除しました。
2. PoC 不要な実装プロトタイプ: ライブラリ脆弱性の悪用可能性を、PoC に依存せずにクライアントプログラムから検出する「LiveFuzz」を実装しました。
3. 大規模な実世界データセットの構築: 7 つのライブラリ、42 の脆弱性、61 の実世界ケース（クライアント - ライブラリ - コマンド - CVE）を含む新しいデータセットを構築し、評価を行いました。

4. 評価結果 (Results)

既存の DGF ツール（AFLGo, SelectFuzz, WindRanger）および一般的なグレーボックスファジング（AFL++）との比較実験を行いました。

• ターゲット到達経路のカバレッジ:
  • LiveFuzz は、すべてのベースラインと比較して、ターゲット到達経路を37%〜195% 多く発見しました（ベースラインによって異なる）。
• 脆弱性の検出速度:
  • 脆弱性を暴露するまでの時間（Time-to-Expose）が、ベースラインと比較して4.74 倍〜7.08 倍高速になりました。
• 検出された脆弱性数:
  • 10 回の独立した実験において、LiveFuzz は最も多くの脆弱性を検出しました。
  • 特に、3 つの脆弱性（CVE-2020-24977, CVE-2021-23215, CVE-2020-11760）は、LiveFuzz によってのみトリガーされました（他のツールは 24 時間以内に検出できず）。
• アブレーション研究:
  • 各モジュール（ターゲットタプル、抽象経路マッピング、適応変異）を個別に削除すると、性能が大幅に低下しました（平均暴露時間が 2.25 倍〜2.43 倍に増加）。
  • 脆弱性記述（キー関数の情報）がない場合でも、LiveFuzz はベースラインより 4.06 倍優れた性能を維持しました。

5. 意義と結論 (Significance)

• セキュリティ対策の促進: 多くの開発者は、ライブラリ更新が困難であるため、脆弱性が「悪用可能かどうか」が不明な限り更新を避ける傾向があります。LiveFuzz は PoC がなくても「悪用可能」であることを実証できるため、開発者が更新や対策を講じるための根拠を提供します。
• 技術的革新: クロスプログラム環境における DGF の課題（経路の偏り、変異の制御）を解決し、ライブラリとクライアントの境界を越えた効率的なファジングを実現しました。
• 将来展望: 深くネストされたライブラリ呼び出しへの対応（n タプルへの拡張）や、LLM を活用した脆弱性記述からの自動情報抽出など、さらなる拡張が計画されています。

この研究は、サプライチェーンセキュリティにおいて、ライブラリ脆弱性の実効性を評価する上で重要なステップであり、PoC が存在しない環境でも効果的な脆弱性検出を可能にします。