[論文レビュー] An Empirical Study on Android-related Vulnerabilities

Mario Linares‐Vásquez, Gabriele Bavota+1 more|arXiv (Cornell University)|Apr 11, 2017

Advanced Malware Detection Techniques参考文献 30被引用数 5

ひとこと要約

本論文は、660件のAndroid関連脆弱性に関する大規模な実証的調査を提示しており、その種別、影響を受けるOSレイヤー、および生存期間を分析している。セキュリティ公告およびバージョン管理データの手動および自動分析を用いて、メモリバッファオーバーフローと入力検証の欠陥が主な原因であることが特定され、カーネルおよびネイティブライブラリが最も脆弱な部分であることが判明し、脆弱性の平均生存期間が724日であることが明らかになった—これは、モバイルOS開発におけるより良い検出ツールとセキュアコーディング慣行の必要性を示唆している。

ABSTRACT

Mobile devices are used more and more in everyday life. They are our cameras, wallets, and keys. Basically, they embed most of our private information in our pocket. For this and other reasons, mobile devices, and in particular the software that runs on them, are considered first-class citizens in the software-vulnerabilities landscape. Several studies investigated the software-vulnerabilities phenomenon in the context of mobile apps and, more in general, mobile devices. Most of these studies focused on vulnerabilities that could affect mobile apps, while just few investigated vulnerabilities affecting the underlying platform on which mobile apps run: the Operating System (OS). Also, these studies have been run on a very limited set of vulnerabilities. In this paper we present the largest study at date investigating Android-related vulnerabilities, with a specific focus on the ones affecting the Android OS. In particular, we (i) define a detailed taxonomy of the types of Android-related vulnerability; (ii) investigate the layers and subsystems from the Android OS affected by vulnerabilities; and (iii) study the survivability of vulnerabilities (i.e., the number of days between the vulnerability introduction and its fixing). Our findings could help OS and apps developers in focusing their verification & validation activities, and researchers in building vulnerability detection tools tailored for the mobile world.

研究の動機と目的

• Android関連脆弱性の種別と根本的要因を理解すること、特にAndroid OSに影響を及ぼす脆弱性に焦点を当てる。
• Android OSのアーキテクチャ的レイヤーやサブシステムのうち、脆弱性の影響を最も頻繁に受ける部分を特定すること。
• Androidコードベース全体にわたり、脆弱性の生存期間（導入後から修正までの期間）を測定し、分析すること。
• 開発者や研究者がセキュリティを向上させられるよう、Android脆弱性の詳細な分類体系を提供すること。
• モバイルプラットフォームに特化した自動脆弱性検出ツールの設計を支援する情報提供

提案手法

• 公式Androidセキュリティ公告、CVE-details、National Vulnerability Databaseから抽出した660件の脆弱性に対する手動分析。
• 共通の弱み表現（Common Weakness Enumeration: CWE）分類体系を用いて、詳細な脆弱性タイプ階層を定義する。
• コミット履歴および脆弱性レポートの分析を通じて、影響を受けるAndroid OSレイヤーやサブシステムを同定。
• SZZアルゴリズムを適用し、脆弱性を導入した最初のコミットと修正コミットを特定することで、脆弱性の生存期間を推定。
• SZZアルゴリズムによる誤検出のリスクを軽減し、耐性を高めるために、最小および最大の生存期間推定値を用いる。
• 分類および生存期間推定の正確性を保証するため、一部の脆弱性を手動で検証

実験結果

リサーチクエスチョン

• RQ1 Android関連脆弱性の主な種別と階層的関係は何か、特にAndroid OSに影響を及ぼす脆弱性に焦点を当てる。
• RQ2 Android OS内のどのレイヤーやサブシステムが、セキュリティ脆弱性の影響を最も頻繁に受けるか。
• RQ3 Android関連脆弱性は、修正されるまで平均してどの程度コードベースに残留するか。
• RQ4 Android OSにおける脆弱性の主な根本的要因は何か、特に低レベルコンponentsに焦点を当てる。
• RQ5 本研究の知見は、セキュアコーディング慣行および自動脆弱性検出ツールの開発にどのように活かせるか。

主な発見

• 最も頻度の高い脆弱性タイプは、メモリバッファ境界の操作制限の不備であり、全脆弱性の大部分を占めている。
• Linuxカーネル内のハードウェアドライバおよびネイティブライブラリが、最も脆弱なコンponentsであることが判明し、低レベルシステムコンponentsが高リスク領域であることを示している。
• 平均して、Android脆弱性は導入後少なくとも724日間生存しており、これは長期間にわたるセキュリティ負債を示している。
• 不適切な入力検証、型エラー、数値処理の欠陥が、脆弱性の主な要因の一部である。
• 大多数の脆弱性は、特にメモリおよびデータ処理における不適切なコーディング慣行に起因しており、静的解析や設計段階でのセキュリティ確保（secure-by-design）の手法が、多くの問題を防げる可能性がある。
• 本研究で構築した脆弱性分類体系は、ターゲット特化型検出ツールの構築や、モバイルOS開発における検証・検査プロセスの強化の基盤となる。