.png){kind=icon}
返回
VEXGen: Automating Vulnerability Exploitability eXchange Generation for software projects
.png){kind=icon}
OA
AI
DOI：10.1016/j.cose.2026.105164.png)
.png){kind=icon}
原文求助.png){kind=icon}
分享.png){kind=icon}
收藏
摘要
En 中文
现代软件开发高度依赖软件物料清单（SBOM）中记录的第三方组件。尽管这些依赖关系可加速开发，但也增加了引入已知漏洞的风险。关键挑战在于确定此类漏洞在特定部署环境中是否实际可被利用。目前，这项任务需要安全专家进行手动分析，导致漏洞可利用性交换（VEX）文件的创建耗时且易出错。本文提出VEXGen，一种从基于SBOM的项目中自动生成VEX文件的工具。我们首先进行探索性研究，考察VEX的采用现状和可用工具支持，发现现有工具支持有限且主要依赖手动操作。VEXGen通过从公共漏洞数据库和源代码仓库中挖掘并关联信息，自动评估代码级可达性作为可利用性的证据，以弥补这些差距。在无法完全自动化的情况下，它会生成辅助性威胁情报交换（TIX）文件以促进手动分类，并整合用户可配置的优先级技术，帮助分析师优先处理高风险漏洞。我们通过覆盖6种编程语言、100个真实世界开源仓库的3项实验和4695条VEX陈述验证了VEXGen。结果显示，VEXGen的功能级调用图分析比包级可达性基线多解决了18.9个百分点（64.3% vs. 45.4%）的陈述。它还实现了64.3%的解决率，而cve-bin-tool为0.0%，与其作为分类和检测工具的互补角色一致，且对权重配置变化做出可预测且单调的响应。通过减少人工工作量并提升解决率、自动化覆盖和可扩展性，本研究为软件供应链中的漏洞管理提供了实用方法。
Keyword:
SBOM
Vulnerability
VEX
Cybersecurity
Software development
Software engineering
Software supply chain
