VPSS：面向软件供应链的漏洞影响评估
💡
原文中文，约4900字，阅读约需12分钟。
📝
内容提要
第四十届软件工程国际会议ASE 2025将在首尔举行，246篇论文被录用，其中中国作者占比超过60%。论文研究软件供应链漏洞影响评估，提出了基于工作列表的传播分析算法和漏洞传播评分系统（VPSS），有效评估Java Maven生态系统中的漏洞，帮助量化其影响。
🎯
关键要点
- 第四十届软件工程国际会议ASE 2025将在首尔举行，246篇论文被录用，中国作者占比超过60%。
- 会议主题包括AI和SE、测试和分析、安全及其他非功能特性。
- 论文研究软件供应链漏洞影响评估，提出基于工作列表的传播分析算法和漏洞传播评分系统（VPSS）。
- 现有研究无法准确评估漏洞在软件供应链中的影响，存在假阳性和局部分析的局限性。
- 论文提出的算法能够在函数调用图层级实现漏洞传播分析，支持全生态系统的评估。
- VPSS是第一个专门用于量化软件供应链中漏洞影响的动态评估指标，采用0-10分制。
- 研究方法包括依赖图构建、脆弱函数识别、漏洞传播分析和VPSS计算四个步骤。
- 在Java Maven生态系统上实现了工具原型，并使用100个漏洞进行了测试，评估结果显示算法有效。
- VPSS分数能够动态反映漏洞传播影响的演变，捕获异常的延迟更新现象。
- 作者团队欢迎交流合作，推动软件供应链漏洞治理工作。
❓
延伸问答
VPSS是什么，它的主要功能是什么？
VPSS是漏洞传播评分系统，用于量化软件供应链中漏洞的影响，采用0-10分制，帮助评估漏洞的传播范围和演变。
这篇论文提出了哪些方法来评估软件供应链中的漏洞？
论文提出了基于工作列表的传播分析算法和VPSS评分系统，包含依赖图构建、脆弱函数识别、漏洞传播分析和VPSS计算四个步骤。
VPSS如何解决现有漏洞评估方法的局限性？
VPSS通过在函数调用图层级进行分析，克服了假阳性和局部分析的局限性，能够全面评估漏洞在整个软件生态系统中的影响。
论文中提到的Java Maven生态系统的测试结果如何？
在Java Maven生态系统上，使用100个漏洞进行测试，结果显示VPSS算法能够有效完成全生态的漏洞影响评估。
VPSS分数的动态特性是什么？
VPSS分数能够动态反映漏洞传播影响的演变，捕获异常的延迟更新现象，提供实时的漏洞影响情报。
这篇论文的研究背景是什么？
随着软件生态复杂化，软件供应链中的漏洞不仅影响上游项目，还可能对下游项目造成安全风险，因此需要准确评估漏洞的影响范围。
➡️
