[論文レビュー] On the Threat of npm Vulnerable Dependencies in Node.js Applications

Mahmoud Alfadel, Diego Elias Costa+3 more|arXiv (Cornell University)|Sep 18, 2020

Security and Verification in Computing参考文献 25被引用数 11

ひとこと要約

本研究では、実世界のNode.jsアプリケーションにおけるnpmの脆弱な依存関係の実際の脅威を調査するために、脆弱性を3段階の脅威レベル（低：未知、中：報告済みだが非公開、高：公に発表済み）に分類し、6,673の成熟したオープンソースアプリケーションを分析した。その結果、脆弱な依存関係の94.91％が低脅威であり、高脅威の大多数は、脆弱性自体の露呈によるのではなく、更新を怠ったことによるものであることが判明した。

ABSTRACT

Software vulnerabilities have a large negative impact on the software systems that we depend on daily. Reports on software vulnerabilities always paint a grim picture, with some reports showing that 83% of organizations depend on vulnerable software. However, our experience leads us to believe that, in the grand scheme of things, these software vulnerabilities may have less impact than what is reported. Therefore, we perform a study to better understand the threat of npm vulnerable packages used in Node.js applications. We define three threat levels for vulnerabilities in packages, based on their lifecycle, where a package vulnerability is assigned a low threat level if it was hidden or still unknown at the time it was used in the dependent application (t), medium threat level if the vulnerability was reported but not yet published at t, and high if it was publicly announced at t. Then, we perform an empirical study involving 6,673 real-world, active, and mature open source Node.js applications. Our findings show that although 67.93% of the examined applications depend on at least one vulnerable package, 94.91% of the vulnerable packages in those affected applications are classified as having low threat. Moreover, we find that in the case of vulnerable packages classified as having high threat, it is the application's lack of updating that makes them vulnerable, i.e., it is not the existence of the vulnerability that is the real problem. Furthermore, we verify our findings at different stages of the application's lifetime and find that our findings still hold. Our study argues that when it comes to software vulnerabilities, things may not be as bad as they seem and that considering vulnerability threat is key.

研究の動機と目的

• 実世界のNode.jsアプリケーションにおけるnpmの脆弱な依存関係が引き起こす実際の脅威を理解し、すべての脆弱性が同等に危険であるという仮定に疑問を呈すること。
• 既存の研究におけるギャップを埋めるために、脆弱性の存在にとどまらず、そのライフサイクル段階に基づく実世界の脅威レベルに焦点を当てる。
• 修正が利用可能であるにもかかわらず、一部のアプリケーションが高脅威の脆弱な依存関係に依存してしまう理由を調査すること。
• アプリケーションの開発ライフサイクルを通じて、脆弱性の脅威レベルがどのように変化するかを評価すること。
• ソフトウェアエコシステムにおける依存関係の実際のリスクを評価するための脅威に配慮したフレームワークを提供すること。

提案手法

• 脆弱性のライフサイクルに基づき、3段階の脅威分類（低：未知、中：報告済みだが非公開、高：公に発表済み）を定義した。
• パッケージ.jsonファイルを用いて、公開リポジトリから6,673の成熟した、活動的でオープンソースのNode.jsアプリケーションを収集・分析し、直接依存関係を抽出した。
• npmアドバイザリーデータセットを用いて、各依存関係をその脆弱性状態にマッピングした。このデータセットは、権威ある脆弱性記録を提供する。
• バージョン履歴と脆弱性の発表タイムラインを分析することで、アプリケーションのバージョンごとの脆弱性脅威レベルの変化を追跡した。
• アプリケーション開発の異なる段階における脅威レベルの傾向を評価するために縦断的分析を実施した。
• 修正が利用可能であったが適用されていなかったかどうかを確認することで、高脅威脆弱性の根本原因を同定した。

実験結果

リサーチクエスチョン

• RQ1 RQ1: 依存関係が導入された時点でのライフサイクル段階に基づき、実世界のNode.jsアプリケーションにおける脆弱な依存関係の脅威度はどの程度か？
• RQ2 RQ2: アプリケーションの開発履歴を通じて、脆弱な依存関係の脅威レベルはどのように変化するか？
• RQ3 RQ3: 修正が利用可能であるにもかかわらず、一部のアプリケーションが高脅威の脆弱な依存関係に依存してしまうのはなぜか？

主な発見

• 調査対象の6,673のNode.jsアプリケーションのうち67.93％が、少なくとも1つの脆弱なパッケージに依存しており、広範な露出状況が示された。
• これらのアプリケーションに含まれるすべての脆弱な依存関係の94.91％が低脅威に分類され、使用当時、未知または非公開の状態であったことを示している。
• 高脅威脆弱性のうち90.8％が、修正が利用可能であったにもかかわらず、更新を実施しなかったアプリケーションの不注意に起因していた。
• 低脅威の優位性は、アプリケーション開発のすべての段階にわたり継続しており、脅威分類が時間経過とともに安定していることを示している。
• 本研究では、すべての脆弱性が同等に危険であるとは限らず、実際の脅威は脆弱性の存在そのものではなく、発表タイミングと更新行動に依存することが確認された。
• 研究結果から、脆弱性リスクは一般的なレポートでしばしば誇張されている可能性があり、実際の利用可能性に影響を与える要因として、アプリケーションのメンテナンス手法が重要であることが示唆された。