[논문 리뷰] SemFuzz: A Semantics-Aware Fuzzing Framework for Network Protocol Implementations

Yanbang Sun, Quan Luo외 7명|arXiv (Cornell University)|2026. 03. 06.

Software Testing and Debugging Techniques인용 수 0

한 줄 요약

SemFuzz는 LLM을 사용해 RFC 의미론을 추출하고 의도 주도적이며 의미론 인지적 퍼징을 수행하여 프로토콜 구현의 깊은 의미론적 취약점을 감지한다; 7개 대상에서 10개의 실제 취약점(4개 CVE)을 발견했다.

ABSTRACT

Network protocols are the foundation of modern communication, yet their implementations often contain semantic vulnerabilities stemming from inadequate understanding of specification semantics. Existing gray-box and black-box testing approaches lack semantic modeling of protocols, making it difficult to precisely express testing intent and cover boundary conditions. Moreover, they typically rely on coarse-grained oracles such as crashes, which are inadequate for identifying deep semantic vulnerabilities. To address these limitations, we present a semantics-aware fuzzing framework, SemFuzz. The framework leverages large language models to extract structured semantic rules from RFC documents and generates test cases that intentionally violate these rules to encode specific testing intents. It then detects deep semantic vulnerabilities by comparing the observed responses with the expected ones. Evaluation on seven widely deployed protocol implementations shows that SemFuzz identified sixteen potential vulnerabilities, ten of which have been confirmed. Among the confirmed vulnerabilities, five were previously unknown and four have been assigned CVEs. These results demonstrate the effectiveness of SemFuzz in detecting semantic vulnerabilities.

연구 동기 및 목표

• 명세의 제한된 의미 이해로 인해 프로토콜 구현에 발생하는 의미론적 취약점을 해결한다.
• 대형 언어 모델을 사용해 RFC에서 구조화된 의미 규칙을 추출한다.
• 강건한 테스트를 위한 의도 주도적 변이 및 정밀한 의미 오라클을 가능하게 한다.
• 여러 프로토콜 구현에서 SemFuzz를 평가하고 기존 기준선과 비교한다.

제안 방법

• Wireshark를 사용하여 실제 트래픽 시드를 수집하고 시드 메시지를 구성한다.
• LLM 기반 의미 규칙 구성기를 사용해 RFC 단락을 구조화된 의미 규칙(p, m, f, C, P)으로 변환한다.
• 구성 제약을 위반하는 변이 전략(M)을 생성하고 예상 응답(e)을 명시한다.
• 결정론적 변이 엔진을 통해 시드에 원자적 동작(add, remove, update)을 적용하여 테스트 케이스를 생성한다.
• 실제 응답과 예상 응답을 비교하는 의미 오라클로 응답을 검증해 취약점 탐지를 수행한다.

실험 결과

연구 질문

• RQ1 RFC에서 프로토콜 의미를 추출하는 데 있어 LLM 기반 의미 모델링의 효과는 어느 정도인가?
• RQ2 여러 프로토콜에서 기존 방법과 비교해 취약점 탐지 성능은 어떠한가?
• RQ3 전체 퍼징 효과에 대한 각 SemFuzz 모듈의 기여도는 무엇인가?
• RQ4 기초 LLM의 선택이 SemFuzz의 성능에 어떤 영향을 미치는가?

주요 결과

• 의미 모델링은 R 추출의 평균 F1 0.84, SR 변환의 평균 F1 0.80을 달성했고, 하류 변이/테스트 케이스 생성 정확도는 각각 평균 0.92와 0.87이다.
• SemFuzz는 일곱 개 대상에서 16개의 잠재적 취약점을 식별했고, 그 중 10개는 실제 취약점으로 확인되었으며 4개 CVE(5 previously unknown)
• 베이스라인과 비교했을 때 SemFuzz는 더 많은 취약점을 발견한다(최고의 베이스라인은 5).
• 소거 분석은 명세 식별 모듈이 의미 규칙 품질을 향상시키고, 동작 생성 모듈이 테스트 케이스 품질을 크게 향상시켰음을 보여준다(평균 정확도 87%).
• TLS 1.3 테스트 케이스 생성 정확도는 0.79이고, 다른 프로토콜은 0.90 이상 정확도를 달성한다.