[論文レビュー] SemFuzz: A Semantics-Aware Fuzzing Framework for Network Protocol Implementations

Yanbang Sun, Quan Luo+7 more|arXiv (Cornell University)|Mar 6, 2026

Software Testing and Debugging Techniques被引用数 0

ひとこと要約

SemFuzz は LLM を用いて RFC の意味論を抽出し、意図駆動・意味論意識のファジングを実行してプロトコル実装の深い意味論的脆弱性を検出する。7 対象で実際の脆弱性を 10 件（4 CVE）を発見。

ABSTRACT

Network protocols are the foundation of modern communication, yet their implementations often contain semantic vulnerabilities stemming from inadequate understanding of specification semantics. Existing gray-box and black-box testing approaches lack semantic modeling of protocols, making it difficult to precisely express testing intent and cover boundary conditions. Moreover, they typically rely on coarse-grained oracles such as crashes, which are inadequate for identifying deep semantic vulnerabilities. To address these limitations, we present a semantics-aware fuzzing framework, SemFuzz. The framework leverages large language models to extract structured semantic rules from RFC documents and generates test cases that intentionally violate these rules to encode specific testing intents. It then detects deep semantic vulnerabilities by comparing the observed responses with the expected ones. Evaluation on seven widely deployed protocol implementations shows that SemFuzz identified sixteen potential vulnerabilities, ten of which have been confirmed. Among the confirmed vulnerabilities, five were previously unknown and four have been assigned CVEs. These results demonstrate the effectiveness of SemFuzz in detecting semantic vulnerabilities.

研究の動機と目的

• 仕様の意味理解が不十分なことによって生じるプロトコル実装の意味論的脆弱性への対応。
• 大規模言語モデルを用いて RFC から構造化された意味論ルールを抽出する。
• 意図駆動の突然変異と堅牢なテストのための厳密な意味論オラクルを実現する。
• 複数のプロトコル実装で SemFuzz を評価し、既存ベースラインと比較する。

提案手法

• Wireshark を用いて現実世界のトラフィックシードを収集し、シードメッセージを構築する。
• LLM ベースの意味論ルール作成器を用いて RFC の段落を構造化された意味論ルール（p, m, f, C, P）に変換する。
• 構築制約に違反する突然変異戦略（M）を生成し、期待される応答（e）を指定する。
• 決定論的突然変異エンジンを介してシードへ原子操作（追加、削除、更新）を適用してテストケースを生成する。
• 意味論オラクルで応答を検証し、実際の応答と期待応答を比較して脆弱性検出を行う。

実験結果

リサーチクエスチョン

• RQ1 LLM ベースの意味モデリングは RFC からプロトコル意味を抽出するのにどれほど有効か。
• RQ2 SemFuzz は様々なプロトコルで既存手法と比較して脆弱性検出の性能はどの程度か。
• RQ3 SemFuzz の各モジュールが全体のファジング効果にどの程度寄与するか。
• RQ4 基盤となる LLM の選択が SemFuzz の性能にどのような影響を与えるか。

主な発見

• 意味モデリングは R 抽出の平均 F1 が 0.84、SR 変換の平均 F1 が 0.80、下流の突然変異/テストケース生成の正確さはそれぞれ平均 0.92 / 0.87。
• SemFuzz は 7 対象で 16 件の潜在的脆弱性を特定し、うち 10 件が実際の脆弱性、4 件が CVE（5 件は新規不明）と確認された。
• ベースラインと比較して SemFuzz はより多くの脆弱性を発見（ベストなベースラインは 5 件）。
• アブレーションにより、仕様識別モジュールが意味論ルールの品質を向上させ、アクション生成モジュールがテストケースの品質を著しく高めることが示された（平均 87% の精度）。
• TLS 1.3 のテストケース生成精度は 0.79、他のプロトコルは 0.90 以上を達成。