[논문 리뷰] On The Lag of Library Vulnerability Updates: An Investigation into the Repackage and Delivery of Security Fixes Within The npm JavaScript Ecosystem

Bodin Chinthanet, Raula Gaikovina Kula외 3명|arXiv (Cornell University)|2019. 07. 08.

Software Engineering Research인용 수 4

한 줄 요약

이 연구는 npm 자바스크립트 생태계 내에서 취약성 수정 업데이트의 지연을 조사하며, 두 가지 핵심 지연을 밝혀냈다: 관련 없는 변경 사항과 함께 수정을 번들링하는 데 기인한 재패키징 지연(83.33%의 커밋이 관련 없는 변경 사항을 수반함)과, 클라이언트가 패치 업데이트보다 마이너 업데이트를 선호하는 배달 지연. 연구 결과는 심각도와 후행 종속성의 영향을 받지만, 패키지의 신선도는 영향을 받지 않음을 보여주며, 소프트웨어 생태계에서 수정 사항의 확산을 향상시키는 데 통찰을 제공한다.

ABSTRACT

Vulnerabilities in third-party libraries is a growing concern for the software developer, as it poses risks not only to the software client itself but to the entire software ecosystem. To mitigate these risks, developers are strongly recommended to update their dependencies. Recent studies show that affected developers are not likely to respond to the vulnerability threat. However, another reason for the lag of vulnerability updates is due to slow repackaging (i.e., package the vulnerability fix into a new version) and delivery (i.e., affected client adopt the new version) of the fix. To understand these lags of updates, we use both qualitative and quantitative approaches to conduct an empirical study on how 188 fixes were repackaged and delivered across over eight hundred thousand releases of npm software clients hosted on GitHub. We report two lags: (1) lags in repackaging occur as vulnerability fixes are more likely to be bundled with other non-related updates (i.e., about 83.33\% of commits are not related to the fix) and (2) lags in the delivery are caused by clients that are more likely to adopt the minor fix than adopt the patch fix. Furthermore, other factors such as downstream dependencies and severity do have an impact. We also find that freshness of packages does not impact the amount of lags. The identification of these two lags opens up different avenues on how to facilitate faster fix delivery throughout a library ecosystem.

연구 동기 및 목표

• npm 자바스크립트 생태계에서 취약성 수정 업데이트가 지연되는 근본 원인을 조사하기 위해.
• 취약성 공개와 새로운 라이브러리 버전에 수정 사항이 재패키징되는 데까지의 시간 지연을 분석하기 위해.
• 특히 패치 업데이트와 마이너 업데이트 간의 차이를 고려해 클라이언트 측의 수정 사항 채택 패턴을 검토하기 위해.
• 심각도, 후행 종속성, 패키지 신선도와 같은 요소들이 업데이트 시점에 미치는 영향을 평가하기 위해.
• 소프트웨어 라이브러리의 취약성 수정 사항 배달 파이프라인에서의 체계적 병목 현상을 특정하기 위해.

제안 방법

• GitHub에 호스팅된 80만 개 이상의 npm 클라이언트 릴리스를 대상으로 188개의 취약성 수정 사항에 대한 실증적 연구를 수행하였다.
• 버전 제어 분석을 통해 취약성 공개와 새로운 라이브러리 버전에 수정 사항이 재패키징되는 데까지의 시간 지연을 측정하였다.
• 수정 사항 릴리스 이후 패치 업데이트와 마이너 업데이트의 빈도를 비교하여 클라이언트의 채택 비율을 추적하였다.
• 질적 및 양적 분석을 적용하여 커밋 내용을 분류하고, 수정 사항이 관련 없는 변경 사항과 함께 번들링되었는지 여부를 판단하였다.
• 심각도 수준과 후행 종속성 체인의 영향을 업데이트 시점에 미치는 영향을 평가하였다.
• 패키지의 신선도(즉, 최초 릴리스 이후 경과 시간)가 재패키징 및 배달 지연에 미치는 영향을 측정하였다.

실험 결과

연구 질문

• RQ1 취약성 수정 사항이 공개된 후 일반적으로 얼마나 오래 걸려서 새로운 라이브러리 버전에 재패키징되는가?
• RQ2 재패키징 과정에서 취약성 수정 사항이 관련 없는 변경 사항과 함께 번들링되는 정도는 어느 정도인가?
• RQ3 왜 같은 수정 사항에 대해 클라이언트들이 패치 버전 업데이트보다 마이너 버전 업데이트를 더 선호하는가?
• RQ4 심각도 수준과 후행 종속성이 수정 사항 채택 속도에 어떤 영향을 미치는가?
• RQ5 패키지의 신선도가 수정 사항의 재패키징 또는 배달 속도에 영향을 미치는가?

주요 결과

• 약 83.33%의 수정 사항을 포함하는 커밋이 관련 없는 변경 사항도 수반하고 있어, 보안 수정 사항의 재패키징이 크게 지연된다.
• 클라이언트는 같은 취약성 수정 사항에 대해 패치 버전 업데이트보다 마이너 버전 업데이트를 두 배 이상 더 자주 채택하며, 이는 비마이너 업데이트를 선호하는 경향을 보여준다.
• 취약성의 심각도는 수정 사항 배달 속도에 측정 가능한 영향을 미치며, 더 높은 심각도의 이슈일수록 더 빨리 채택된다.
• 후행 종속성은 업데이트 시점에 영향을 미치며, 더 많은 종속 프로젝트를 가진 라이브러리는 더 높은 감시 수준으로 인해 수정 사항 채택 속도가 빨라진다.
• 패키지의 신선도는 재패키징 또는 배달 지연의 크기에 유의미한 영향을 미치지 않으며, 이는 신규 패키지가 본래로 더 빨리 업데이트되는 것은 아님을 시사한다.
• 이 연구는 재패키징 지연과 배달 지연이라는 두 가지 별개의 지연을 특정하였으며, 이들이 npm 생태계에서 취약성 노출 기간을 연장하는 데 기여한다.