💻 computer science

Triggering and Detecting Exploitable Library Vulnerability from the Client by Directed Greybox Fuzzing

O artigo apresenta o LiveFuzz, uma nova abordagem baseada em fuzzing cinzento direcionado que detecta a explorabilidade de vulnerabilidades em bibliotecas de terceiros a partir de programas cliente sem depender de provas de conceito, utilizando mapeamento de caminhos abstratos e mutação adaptativa baseada em risco para superar as limitações das técnicas existentes.

Autores originais: Yukai Zhao, Menghan Wu, Xing Hu, Shaohua Wang, Meng Luo, Xin Xia

Publicado 2026-04-07

📖 4 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Yukai Zhao, Menghan Wu, Xing Hu, Shaohua Wang, Meng Luo, Xin Xia

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você está construindo uma casa muito complexa (o seu programa de computador). Para fazer isso rápido, você usa muitos componentes prontos de outras pessoas, como portas, janelas e sistemas elétricos. Esses componentes são as bibliotecas de terceiros.

O problema é que, às vezes, uma dessas portas ou janelas tem um defeito de fabricação (uma vulnerabilidade) que permite que um ladrão entre na sua casa.

O Problema: O "Detetive" Cego

Até hoje, os especialistas em segurança tentavam encontrar esses defeitos de duas formas:

Olhando a lista de peças: Eles diziam "Essa biblioteca tem um defeito conhecido, então sua casa está em perigo". Mas isso gera muitos alarmes falsos. Às vezes, a porta defeituosa está trancada e ninguém consegue usá-la de dentro da sua casa.
Usando um "Mapa do Tesouro" (PoC): Eles usavam um guia passo a passo (chamado Proof-of-Concept ou PoC) que mostrava exatamente como um hacker exploraria o defeito. O problema é que, na vida real, esses mapas muitas vezes não existem ou são secretos. Sem o mapa, o detetive fica perdido.

A Solução: O LiveFuzz

Os autores deste paper criaram uma nova ferramenta chamada LiveFuzz. Pense nela como um treinador de cachorros de busca muito inteligente que não precisa de um mapa do tesouro para encontrar o ladrão.

O LiveFuzz funciona assim:

1. O "Parede de Blocos" (Target Tuple)

Imagine que o seu programa é um labirinto gigante. O defeito está em uma sala específica no fundo de uma biblioteca anexa à sua casa.

O jeito antigo: O treinador tentava achar o caminho mais curto até a sala do defeito. Se o caminho fosse longo, ele desistia e focava em caminhos curtos que nem levavam ao ladrão.
O jeito LiveFuzz: Ele cria um "duplo alvo". Ele marca dois pontos:
1. A porta de entrada da biblioteca (onde o seu programa se conecta).
2. A sala do defeito lá dentro.
  Isso permite que ele entenda que, para chegar no defeito, o cachorro precisa passar pela porta de entrada primeiro. Ele não desiste só porque o caminho é longo.

2. O "Mapa Abstrato" (Abstract Path Mapping)

Às vezes, existem vários caminhos diferentes para chegar à sala do defeito. Um caminho é curto, mas tem um muro alto. O outro é longo, mas tem uma escada.

O jeito antigo: O treinador preferia o caminho curto, ignorando o longo, achando que era "melhor".
O jeito LiveFuzz: Ele usa um "Mapa Abstrato". Ele não olha apenas a distância em metros, mas sim o progresso relativo. Ele pergunta: "Quanto desse caminho já foi percorrido em relação ao total necessário?". Assim, ele não descarta o caminho longo se ele estiver progredindo bem. Ele trata todos os caminhos com justiça.

3. O "Treinador Adaptativo" (Risk-Based Adaptive Mutation)

Agora, imagine que o cachorro (o teste) está tentando abrir uma fechadura.

O jeito antigo: O treinador dava chutes aleatórios e fortes em todos os cachorros. Se o cachorro já estava perto da fechadura, um chute forte poderia quebrar a fechadura ou fazer o cachorro recuar (isso é a "mutação excessiva").
O jeito LiveFuzz: Ele avalia o "risco" de cada cachorro.
- Se o cachorro está longe, ele dá chutes fortes (mudanças grandes) para explorar novos caminhos.
- Se o cachorro está perto da fechadura (alto risco), ele dá tapas leves e precisos (mudanças pequenas) para não estragar o que já foi conquistado. É como afinar um instrumento musical: você não dá marteladas, você ajusta os parafusos com cuidado.

O Resultado

Os autores testaram o LiveFuzz em 61 casos reais de programas e bibliotecas.

Descoberta: Ele encontrou muito mais caminhos possíveis para chegar aos defeitos do que as ferramentas antigas.
Velocidade: Ele expôs as vulnerabilidades (fez o ladrão entrar) cerca de 5 a 7 vezes mais rápido do que os concorrentes.
Sucesso Exclusivo: Em 3 casos, o LiveFuzz foi o único a conseguir encontrar o defeito, porque as ferramentas antigas desistiram dos caminhos longos ou fizeram mutações erradas.

Resumo em uma frase

O LiveFuzz é um sistema de teste inteligente que, sem precisar de um "mapa do tesouro" (PoC), consegue navegar por programas complexos, ignorar caminhos curtos que não levam a lugar nenhum e ajustar sua estratégia de teste para encontrar falhas de segurança que outros métodos deixam escapar.

Resumo Técnico: LiveFuzz

1. O Problema

O uso de bibliotecas de terceiros (TPLs) é fundamental para a produtividade no desenvolvimento de software, mas introduz riscos de segurança significativos. Quando uma biblioteca contém uma vulnerabilidade, ela pode propagar-se para os programas clientes que a utilizam.

Desafio da Atualização: Atualizar bibliotecas vulneráveis é arriscado e demorado, exigindo grandes mudanças de código e podendo causar conflitos no ecossistema.
Limitação das Abordagens Atuais: Muitas ferramentas de análise focam apenas na chegada (reachability) da função vulnerável, gerando muitos falsos positivos. Outras abordagens baseadas em testes tentam gerar casos de teste para verificar a explorabilidade, mas dependem fortemente de Provas de Conceito (PoCs) existentes. O problema central é que PoCs detalhadas e utilizáveis frequentemente não estão disponíveis publicamente, limitando a aplicabilidade dessas ferramentas.
Cenário de Fuzzing Direcionado (DGF): Embora o DGF seja eficaz para reproduzir vulnerabilidades em programas únicos, aplicá-lo a cenários cruzados entre programas (cliente + biblioteca) apresenta dois desafios principais:
1. Viés por Caminhos Curtos: Algoritmos existentes preferem sementes (seeds) que percorrem caminhos de execução mais curtos até o alvo. Em cenários cruzados, isso ignora sementes que percorrem caminhos mais longos, mas que podem ser essenciais para satisfazer condições complexas de exploração.
2. Mutação Excessiva: Estratégias de mutação padrão não consideram as barreiras entre o programa cliente e a biblioteca. Mutadores "grosseiros" (coarse-grained) podem quebrar facilmente as validações do cliente antes que o input chegue à biblioteca, desperdiçando recursos.

2. Metodologia: LiveFuzz

O LiveFuzz é uma abordagem baseada em Directed Greybox Fuzzing (DGF) projetada para detectar a explorabilidade de vulnerabilidades de bibliotecas a partir de programas clientes, sem a necessidade de PoCs.

Componentes Principais:

A. Construção da Tupla de Alvo (Target Tuple):
- Para lidar com a dependência dinâmica entre cliente e biblioteca, o LiveFuzz define um alvo composto por uma tupla $\langle CT, VT \rangle$ $⟨ C T, V T ⟩$ :
  - VT (Vulnerability Targets): Os primeiros blocos básicos das funções vulneráveis na biblioteca.
  - CT (Caller Targets): Os primeiros blocos básicos das funções do cliente que chamam a biblioteca.
- Isso permite que o fuzzer calcule distâncias e riscos dentro do contexto de um único programa unificado, separando o caminho de execução do cliente do caminho da biblioteca.
B. Mapeamento de Caminho Abstrato (Abstract Path Mapping):
- Objetivo: Mitigar o viés de preferir caminhos mais curtos.
- Mecanismo: Em vez de usar apenas a distância absoluta, o LiveFuzz normaliza a distância do caminho de execução em relação ao comprimento estimado do caminho alcançável total (inspirado na heurística $A^*$ ).
- Cálculo de Risco: O risco de uma semente é calculado como a razão entre a distância percorrida até o alvo e o comprimento total estimado do caminho. Isso permite comparar sementes que estão em caminhos de execução diferentes de forma justa, garantindo que caminhos mais longos, mas promissores, não sejam ignorados.
C. Mutação Adaptativa Baseada em Risco (Risk-Based Adaptive Mutation):
- Agendamento de Potência (Power Schedule): Atribui mais energia de mutação a sementes com maior risco (mais próximas de explorar a vulnerabilidade).
- Agendamento de Operadores de Mutação: Diferente do DGF tradicional que foca apenas na potência, o LiveFuzz ajusta dinamicamente a proporção de operadores de mutação grosseiros vs. finos (fine-grained).
  - Sementes que ainda não atingiram a biblioteca recebem mais mutações grosseiras para explorar novos caminhos.
  - Sementes que já atingiram a biblioteca e têm alto risco recebem mais mutações finas para refinar os dados e explorar lógicas profundas, evitando a quebra de pré-requisitos do cliente.
Entrada Opcional (Key Functions): O sistema permite que os usuários forneçam informações parciais (como nomes de funções-chave baseadas em relatórios de bugs) para acelerar a descoberta, calculando um "score de importância" para priorizar sementes que passam por essas funções.

3. Contribuições Chave

Mecanismo de Mapeamento de Caminho Abstrato: Uma nova técnica para projetar caminhos de execução em um caminho alcançável unificado, permitindo a comparação justa de sementes em diferentes trajetórias e eliminando a preferência por caminhos curtos.
Estratégia de Mutação Adaptativa: Um esquema que ajusta dinamicamente a granularidade da mutação com base no risco da semente, equilibrando a exploração de novos caminhos com a exploração profunda de lógicas existentes.
LiveFuzz (Protótipo): A implementação de uma ferramenta capaz de detectar vulnerabilidades exploráveis em bibliotecas a partir de clientes sem depender de PoCs.
Novo Dataset: A construção de um conjunto de dados com 61 casos reais (envolvendo 42 vulnerabilidades em 7 bibliotecas) onde a exploração ocorre via programas clientes, preenchendo uma lacuna na pesquisa atual.

4. Resultados Experimentais

O LiveFuzz foi comparado com baselines de ponta (AFLGo, SelectFuzz, WindRanger, AFL++) em 61 casos reais.

Cobertura de Caminhos: O LiveFuzz descobriu significativamente mais caminhos alcançáveis para os alvos em comparação com todas as baselines (aumentos de 37% a 195% dependendo do baseline).
Velocidade de Exposição: O tempo para expor (Time-to-Expose - TTE) as vulnerabilidades foi reduzido drasticamente. O LiveFuzz foi, em média, 5.85x a 7.08x mais rápido que os baselines.
Descoberta Exclusiva: O LiveFuzz foi o único a disparar 3 vulnerabilidades que nenhuma outra ferramenta conseguiu atingir.
Estabilidade: O sistema demonstrou menor variância nos resultados entre execuções repetidas, indicando maior estabilidade em comparação com métodos que fundem grafos de chamada (como AFLGo-M).
Ablação: Estudos de ablação mostraram que a remoção de qualquer um dos três módulos principais (Tupla de Alvo, Mapeamento de Caminho, Mutação Adaptativa) aumentou o tempo de exposição em mais de 2x, confirmando a contribuição única de cada componente. Mesmo sem informações de funções-chave (sem PoC detalhada), o sistema manteve alta eficácia.

5. Significado e Impacto

O trabalho do LiveFuzz é significativo porque:

Preenche uma Lacuna Crítica: Permite a verificação de explorabilidade de vulnerabilidades em cenários do mundo real onde PoCs não existem, ajudando desenvolvedores a tomar decisões informadas sobre atualizações de bibliotecas.
Avança o Estado da Arte em DGF: Resolve problemas fundamentais de cálculo de distância e estratégia de mutação em cenários de programas cruzados (cliente-biblioteca), que eram limitantes para ferramentas anteriores.
Segurança da Cadeia de Suprimentos: Ao identificar quais vulnerabilidades são realmente exploráveis a partir de clientes específicos, reduz o ruído de alertas de segurança e evita atualizações desnecessárias e arriscadas, fortalecendo a segurança da cadeia de suprimentos de software.

Em suma, o LiveFuzz oferece uma solução robusta e automatizada para um dos problemas mais difíceis na segurança de software moderna: determinar se uma vulnerabilidade em uma biblioteca de terceiros pode ser realmente explorada por um aplicativo específico que a utiliza.