💻 computer science

Triggering and Detecting Exploitable Library Vulnerability from the Client by Directed Greybox Fuzzing

이 논문은 증명 개념 (PoC) 없이도 클라이언트 프로그램에서 라이브러리 취약점의 악용 가능성을 탐지하기 위해, 타겟 튜플 기반의 추상 경로 매핑과 위험 기반 적응적 돌연변이 기법을 도입한 새로운 방향성 회색상자 퍼징 도구인 LiveFuzz 를 제안합니다.

원저자: Yukai Zhao, Menghan Wu, Xing Hu, Shaohua Wang, Meng Luo, Xin Xia

게시일 2026-04-07

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Yukai Zhao, Menghan Wu, Xing Hu, Shaohua Wang, Meng Luo, Xin Xia

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

라이브퍼즈 (LiveFuzz): "고객의 눈으로" 소프트웨어의 숨은 약점을 찾는 새로운 탐정

이 논문은 소프트웨어 개발에서 흔히 발생하는 **'제 3 자 라이브러리 (타사 부품)'**의 보안 문제를 해결하기 위해 고안된 새로운 기술, LiveFuzz에 대해 설명합니다.

이걸 이해하기 쉽게 **'레스토랑'**과 **'요리사'**의 비유로 풀어보겠습니다.

1. 문제 상황: "부품은 괜찮은데, 요리사가 잘못 썼다?"

상황: 현대의 소프트웨어 개발자들은 스스로 모든 것을 만들지 않고, 이미 만들어진 **'라이브러리 (부품)'**를 가져다 씁니다. 마치 레스토랑이 직접 채소를 재배하지 않고, 농장에서 사온 **양파와 마늘 (라이브러리)**을 사용하는 것과 같습니다.
문제: 이 농산품 (라이브러리) 에 해충 (보안 취약점) 이 있을 수 있습니다. 하지만 모든 농산품이 다 해충이 있는 건 아닙니다.
현재의 딜레마:
- 해충이 있다는 걸 알면, 농산품을 교체해야 합니다. 하지만 새로운 농산품은 손질법이 달라서 레시피 (코드) 를 모두 다시 짜야 하고, 이 과정에서 다른 요리가 망가질 수도 있습니다.
- 그래서 개발자들은 "아마 우리 식당 (클라이언트 프로그램) 에서는 그 해충이 활성화되지 않을 거야"라고 생각하며 교체를 미루는 경우가 많습니다.
- 하지만 실제로는 해충이 활성화될 수도 있는데, **어떻게 활성화되는지 (공격 시나리오) 를 증명할 수 있는 자료 (PoC)**가 없어서 확인을 못 하는 경우가 많습니다.

2. 기존 방법의 한계: "지시받은 대로만 움직이는 로봇"

기존의 보안 검사 도구들은 **"이해 (PoC, Proof-of-Concept)"**라는 레시피가 있어야만 작동했습니다.

비유: "양파를 5 번 저으면 독이 나온다"는 구체적인 레시피가 있어야만, 로봇이 그 동작을 따라 하며 "오, 여기가 위험하네!"라고 알려줍니다.
한계: 하지만 실제 해커들은 새로운 레시피를 만들어냅니다. 기존 레시피가 없으면, 로봇은 "모르겠다"며 아무것도 못 합니다.

3. LiveFuzz 의 등장: "직접 실험하는 탐정"

LiveFuzz 는 PoC(레시피) 가 없어도 직접 실험해가며 위험한 곳을 찾아내는 지능형 탐정입니다. 이 탐정은 **'지향성 회색 상자 퍼징 (Directed Greybox Fuzzing)'**이라는 기술을 사용합니다.

LiveFuzz 가 사용하는 3 가지 핵심 전략 (비유 포함)

① 타겟 튜플 (Target Tuple): "두 단계의 목표 설정"

기존: 단순히 "부품 (라이브러리) 의 위험한 부분"만 쫓았습니다.
LiveFuzz: **"고객 (클라이언트) 이 부품을 부르는 곳"**과 **"부품 내부의 위험한 곳"**을 두 개의 목표로 묶어서 추적합니다.
비유: 단순히 "창고 (부품) 의 금고"만 노리는 게 아니라, **"창고로 가는 복도 (고객 프로그램)"**와 **"금고"**를 모두 연결된 하나의 경로로 봅니다. 이렇게 하면 고객 프로그램이 부품에 어떻게 접근하는지 전체 흐름을 파악할 수 있습니다.

② 추상 경로 매핑 (Abstract Path Mapping): "길이의 함정을 피하다"

문제: 기존 도구는 **"짧은 길"**을 선호합니다. "A 길은 100m, B 길은 500m 라면 A 길을 먼저 가보자"는 식입니다. 하지만 해충은 긴 길 (B 길) 끝에 숨어있을 수 있습니다.
해결: LiveFuzz 는 길이의 절대적인 거리가 아니라, **"해당 길이에서 목표까지 얼마나 남았는지 비율"**로 판단합니다.
비유: 100m 길의 끝과 500m 길의 끝이 모두 '금고'로 이어진다면, 500m 길을 가는 탐정에게도 "너는 이미 80% 를走了 갔으니, 계속 가봐!"라고 격려합니다. 긴 길에 숨겨진 위험도 놓치지 않게 해줍니다.

③ 위험 기반 적응형 변이 (Risk-Based Adaptive Mutation): "상황에 맞는 도구 선택"

문제: 데이터를 무작위로 변형 (Mutation) 시킬 때, 너무 거칠게 변형하면 (예: 양파를 통째로 잘라버리기) 요리가 망가져서 실패합니다. 너무 부드럽게 변형하면 (예: 양파 한 알만 살짝 만지기) 해충을 깨우지 못합니다.
해결: LiveFuzz 는 현재 탐정이 **위험한 곳에 얼마나 가까워졌는지 (위험도)**를 계산합니다.
- 아직 멀다면: 거칠게 변형해서 새로운 길을 찾아봅니다 (탐험).
- 가까워졌다면: 아주 정교하게 변형해서 숨겨진 해충을 찾아냅니다 (공격).
비유: 금고 앞에 도착하면, 망치로 부수는 대신 미세한 열쇠 구멍을 탐색하는 도구를 꺼내 사용합니다.

4. 실험 결과: "기존 도구보다 훨씬 빠르고 정확하다"

연구진은 61 가지 실제 사례 (실제 해충이 있는 부품과 이를 사용하는 프로그램) 를 만들어 LiveFuzz 를 테스트했습니다.

결과:
- 기존 도구들보다 약 37%~195% 더 많은 위험한 경로를 찾아냈습니다.
- 해충을 발견하는 속도가 최대 7 배 이상 빨라졌습니다.
- 특히, 다른 어떤 도구도 찾지 못한 3 가지의 새로운 해충을 LiveFuzz 만이 찾아냈습니다.

5. 결론: 왜 이것이 중요한가?

LiveFuzz 는 **"해충이 있다는 건 알지만, 어떻게 공격하는지 모르는 상황"**에서도, 개발자가 **"이 부품이 정말 위험한지, 아니면 그냥 무해한지"**를 빠르게 판단하게 도와줍니다.

기존: "공격 레시피가 없으니, 그냥 교체하지 말자 (위험한 채로 방치)."
LiveFuzz: "레시피가 없어도 내가 직접 실험해봤는데, 이 부품은 우리 시스템에서 정말 위험하네! 빨리 교체하자!"

이 기술은 소프트웨어 공급망의 보안을 강화하고, 불필요한 업데이트로 인한 혼란을 줄여주며, 실제로 해킹이 가능한 취약점만 선별적으로 해결할 수 있게 해줍니다.

한 줄 요약:
LiveFuzz 는 레시피 (공격 시나리오) 가 없어도, 고객 프로그램의 전체 흐름을 고려하여 숨겨진 보안 해충을 빠르고 정확하게 찾아내는 초지능 보안 탐정입니다.

논문 제목: LiveFuzz: 지향성 회색상자 퍼징 (Directed Greybox Fuzzing) 을 통한 클라이언트 프로그램에서의 라이브러리 취약점 악용 가능성 탐지 및 유발

1. 문제 정의 (Problem)

배경: 개발자들은 생산성 향상을 위해 제 3 자 라이브러리 (TPL, Third-Party Libraries) 를 광범위하게 사용하지만, 이는 클라이언트 프로그램에 보안 위험을 초래합니다 (예: Log4Shell).
기존 접근법의 한계:
- 도달 가능성 분석 (Reachability Analysis): 취약한 함수가 호출되는지 확인하지만, 악용에 필요한 조건이 충족되는지 검증하지 못해 오탐 (False Positive) 이 많습니다.
- 테스트 생성 (Test-based Approaches): 클라이언트 프로그램에서 라이브러리 취약점을 유발하는 테스트를 생성하지만, 대부분 **개념 증명 (PoC, Proof-of-Concept)**에 의존합니다. 실제 환경에서는 PoC 가 존재하지 않거나 공개되지 않는 경우가 많아 적용 범위가 제한적입니다.
핵심 과제: PoC 없이 클라이언트 프로그램에서 라이브러리 취약점을 유발하고 악용 가능성을 탐지하는 것이 어렵습니다. 특히 클라이언트와 라이브러리 간의 복잡한 계층적 의존성 (동적 링크) 으로 인해 기존 지향성 퍼징 (DGF) 기법을 적용할 때 두 가지 주요 도전 과제가 발생합니다.
1. 짧은 경로 선호 (Preference for Shorter Paths): 기존 DGF 는 목표까지의 거리가 짧은 시드 (Seed) 를 선호합니다. 하지만 클라이언트 - 라이브러리 간 경로는 다양하며, 더 긴 경로를 통해 취약점에 도달하는 시드가 간과될 수 있습니다.
2. 과도한 변형 (Excessive Mutation): 클라이언트 프로그램의 파싱 및 검증 로직을 통과해야 라이브러리에 도달합니다. 기존 변형 전략은 이러한 단계적 차이를 고려하지 않아, 클라이언트 단계에서 중요한 제약 조건 (예: type >= 0) 을 깨뜨리는 과도한 변형이 발생하여 목표에 도달하지 못합니다.

2. 제안된 방법론: LiveFuzz

저자들은 LiveFuzz라는 새로운 DGF 기반 접근법을 제안합니다. 이는 PoC 없이 클라이언트 프로그램에서 라이브러리 취약점의 악용 가능성을 탐지합니다.

핵심 구성 요소

타겟 튜플 (Target Tuple, $\langle CT, VT \rangle$ ) 구성:
- 기존 DGF 가 단일 프로그램 내에서만 작동하는 것과 달리, LiveFuzz 는 **클라이언트 타겟 (Caller Targets, CT)**과 **취약점 타겟 (Vulnerability Targets, VT)**으로 구성된 튜플을 정의합니다.
- 이를 통해 클라이언트 코드와 라이브러리 코드를 별도의 컨텍스트로 분리하되, 하나의 프로그램처럼 거리 계산과 퍼징을 수행할 수 있게 확장합니다.
추상 경로 매핑 (Abstract Path Mapping):
- 문제 해결: 서로 다른 실행 경로 (Reachable Paths) 에 있는 시드들을 공정하게 비교하기 위해 도입되었습니다.
- 기법: 절대적인 거리가 아닌 상대적인 실행 진행도를 평가합니다. 실행 경로의 길이를 상한선으로 사용하여 목표까지의 거리를 정규화합니다.
- 효과: 기존 DGF 가 짧은 경로를 선호하는 편향을 제거하고, 길이가 다르더라도 목표에 도달할 가능성이 높은 시드를 공정하게 평가하여 더 많은 경로를 탐색하도록 유도합니다.
위험 기반 적응형 변형 (Risk-Based Adaptive Mutation):
- 문제 해결: 과도한 변형으로 인해 클라이언트 단계의 제약 조건이 깨지는 것을 방지합니다.
- 기법: 각 시드의 '위험도 (Risk, 취약점 유발 가능성)'를 기반으로 변형 전략을 동적으로 조정합니다.
  - 전력 스케줄링 (Power Schedule): 시드의 위험도에 따라 변형 횟수를 할당합니다.
  - 변형 연산자 스케줄링 (Mutation Operator Schedule): 시드가 클라이언트 단계에 머무르는 동안은 넓은 탐색을 위해 **거친 변형 (Coarse-grained)**을, 라이브러리 단계에 진입하거나 위험도가 높을 때는 정밀한 탐색을 위해 **세밀한 변형 (Fine-grained)**을 적용합니다.
- 효과: 무작위 변형으로 인한 과도한 변경을 완화하고, 목표 로직에 더 정밀하게 접근할 수 있게 합니다.

3. 주요 기여 (Key Contributions)

새로운 추상 경로 매핑 메커니즘: 실행 경로를 통일된 추상 경로로 투영하여 서로 다른 경로의 시드를 비교하고, 짧은 경로 선호 편향을 제거합니다.
PoC 없는 라이브러리 취약점 악용 가능성 탐지 프로토타입 (LiveFuzz): 클라이언트 프로그램에서 라이브러리 취약점을 유발하는 데 성공하는지 PoC 없이 자동으로 탐지하는 시스템을 구현했습니다.
실제 사례 데이터셋 구축: 7 개의 라이브러리, 42 개의 취약점, 61 개의 실제 클라이언트 - 라이브러리 - 명령어 조합 (Client-Library-Command) 으로 구성된 새로운 데이터셋을 구축하여 평가했습니다.

4. 실험 결과 (Results)

저자들은 LiveFuzz 를 AFLGo, SelectFuzz, WindRanger, AFL++ 등 기존 DGF 및 퍼징 도구와 비교 평가했습니다.

목표 도달 경로 커버리지: LiveFuzz 는 모든 베이스라인 대비 37% ~ 195% 더 많은 목표 도달 가능 경로를 발견했습니다.
취약점 노출 속도 (Time-to-Expose): 평균적으로 베이스라인 대비 4.74 배 ~ 7.08 배 더 빠르게 취약점을 노출시켰습니다.
독점적 발견: 10 회 반복 실험에서 베이스라인이 전혀 발견하지 못한 3 개의 취약점을 LiveFuzz 만이 성공적으로 유발했습니다.
성능 안정성: LiveFuzz 는 다양한 CVE 유형 (버퍼 오버플로우, NULL 포인터 역참조 등) 과 깊이 (Depth) 에서 일관된 성능 향상을 보였습니다.

5. 의의 및 결론 (Significance)

실무적 가치: PoC 가 없는 환경에서도 라이브러리 업데이트의 필요성을 판단할 수 있는 객관적인 근거를 제공합니다. 개발자가 불필요한 업데이트를 피하거나, 실제 악용 가능한 취약점에 집중하여 보안 대응을 할 수 있게 돕습니다.
기술적 혁신: 단일 프로그램 DGF 를 클라이언트 - 라이브러리라는 교차 프로그램 (Cross-program) 시나리오로 확장하는 새로운 패러다임을 제시했습니다. 특히 '타겟 튜플'과 '위험 기반 적응형 변형'은 복잡한 소프트웨어 공급망 보안 문제 해결에 중요한 통찰을 제공합니다.
향후 과제: 더 깊게 중첩된 라이브러리 호출 처리를 위해 n-튜플 확장 및 LLM 을 활용한 자동화된 키 함수 추출 등을 계획하고 있습니다.

이 논문은 소프트웨어 공급망 보안에서 라이브러리 취약점의 실제 위험도를 평가하는 데 있어 획기적인 진전을 이루었으며, PoC 에 의존하지 않는 자동화된 취약점 탐지 기술의 새로운 기준을 제시합니다.