VPSS：面向软件供应链的漏洞影响评估
内容提要
第四十届软件工程国际会议ASE 2025将在首尔举行，246篇论文被录用，其中中国作者占比超过60%。论文研究软件供应链漏洞影响评估，提出了基于工作列表的传播分析算法和漏洞传播评分系统（VPSS），有效评估Java Maven生态系统中的漏洞，帮助量化其影响。
关键要点
-
第四十届软件工程国际会议ASE 2025将在首尔举行，246篇论文被录用，中国作者占比超过60%。
-
会议主题包括AI和SE、测试和分析、安全及其他非功能特性。
-
论文研究软件供应链漏洞影响评估，提出基于工作列表的传播分析算法和漏洞传播评分系统（VPSS）。
-
现有研究无法准确评估漏洞在软件供应链中的影响，存在假阳性和局部分析的局限性。
-
论文提出的算法能够在函数调用图层级实现漏洞传播分析，支持全生态系统的评估。
-
VPSS是第一个专门用于量化软件供应链中漏洞影响的动态评估指标，采用0-10分制。
-
研究方法包括依赖图构建、脆弱函数识别、漏洞传播分析和VPSS计算四个步骤。
-
在Java Maven生态系统上实现了工具原型，并使用100个漏洞进行了测试，评估结果显示算法有效。
-
VPSS分数能够动态反映漏洞传播影响的演变，捕获异常的延迟更新现象。
-
作者团队欢迎交流合作，推动软件供应链漏洞治理工作。
延伸解读
软件供应链安全的重要性
随着软件生态系统的复杂性增加，软件供应链中的漏洞不仅影响直接受影响的项目，还可能对依赖这些项目的下游项目造成安全风险。因此，准确评估漏洞的传播影响变得至关重要，尤其是在快速发展的技术环境中。
VPSS的创新与应用
VPSS作为首个专门用于量化软件供应链中漏洞影响的动态评估指标，采用0-10分制，能够有效反映漏洞传播的深度和广度。其动态特性使得开发者能够实时追踪漏洞影响的变化，为漏洞治理提供了科学依据。
现有评估方法的局限性
当前的漏洞评估方法如CVSS主要关注漏洞本身的特性，无法有效衡量其在软件供应链中的传播影响。这种局限性导致了对漏洞风险的误判，强调了VPSS在提供更全面评估方面的必要性。
延伸问答
VPSS是什么，它的主要功能是什么？
VPSS是漏洞传播评分系统，用于量化软件供应链中漏洞的影响，采用0-10分制，帮助评估漏洞的传播范围和演变。
这篇论文提出了哪些方法来评估软件供应链中的漏洞？
论文提出了基于工作列表的传播分析算法和VPSS评分系统，包含依赖图构建、脆弱函数识别、漏洞传播分析和VPSS计算四个步骤。
VPSS如何解决现有漏洞评估方法的局限性？
VPSS通过在函数调用图层级进行分析，克服了假阳性和局部分析的局限性，能够全面评估漏洞在整个软件生态系统中的影响。
论文中提到的Java Maven生态系统的测试结果如何？
在Java Maven生态系统上，使用100个漏洞进行测试，结果显示VPSS算法能够有效完成全生态的漏洞影响评估。
VPSS分数的动态特性是什么？
VPSS分数能够动态反映漏洞传播影响的演变，捕获异常的延迟更新现象，提供实时的漏洞影响情报。
这篇论文的研究背景是什么？
随着软件生态复杂化，软件供应链中的漏洞不仅影响上游项目，还可能对下游项目造成安全风险，因此需要准确评估漏洞的影响范围。
