Classificação de artefatos de vulnerabilidades de software usando dados públicos da Internet

• Leonardo Ambrus de Lima UFRJ
• Estevão Rabello Ussler UFRJ
• Miguel Angelo Santos Bicudo UFRJ
• Daniel Sadoc Menasche UFRJ

DOI: https://doi.org/10.5753/sbrc.2025.6346

Resumo

Artefatos associados a vulnerabilidades, como patches, exploits e scanners, podem fornecer informações valiosas no contexto da segurança em redes. Em particular, os protocolos de rede utilizados pelos scanners para identificar vulnerabilidades oferecem pistas sobre o funcionamento dessas falhas e os riscos associados. Neste trabalho, utilizamos dados do repositório NomiSec para analisar vulnerabilidades relacionadas a redes, com um foco em scanners. Observamos, por exemplo, que alguns artefatos indicam que a exploração ocorre via HTTP, enquanto outros exigem o uso direto de sockets. Além disso, realizamos uma clusterização e visualização dos artefatos, identificando relações entre categorias. Notamos que certos grupos de artefatos estão associados à exploração de dispositivos de rede, como firewalls, enquanto outros se concentram na exploração de protocolos específicos, como SSL/TLS. Esses achados contribuem para uma melhor compreensão do ecossistema de vulnerabilidades e para o aprimoramento de estratégias de mitigação, baseadas em dados coletados automaticamente e periodicamente a partir do GitHub.

Palavras-chave: Verificadores, NomiSec, Classificação de artefatos de software, InTheWild, NVD, Vulnerabilidades de software, Patches, Exploits, Provas de conceito

Referências

Ambrus de Lima, L., Ussler, E. R., Bicudo, M. A. S., and Menasche, D. S. (2025). Classificação de artefatos de vulnerabilidades de software usando dados públicos da internet. Relatório técnico: [link].

Figueiredo, C. et al. (2023). A statistical relational learning approach towards products, software vulnerabilities and exploits. IEEE Trans. Network and Service Management.

He, H. et al. (2024). 4.5 Million (Suspected) Fake Stars in GitHub: A Growing Spiral of Popularity Contests, Scams, and Malware. arXiv:2412.13459.

Jacobs, J., Romanosky, S., Edwards, B., Adjerid, I., and Roytman, M. (2021). Exploit prediction scoring system (EPSS). Digital Threats: Research and Practice, 2(3):1–17.

Miranda, L. et al. (2021). On the flow of software security advisories. IEEE Transactions on Network and Service Management, 18(2):1305–1320.

Miranda, L., Figueiredo, C., Menasché, D. S., and Kocheturov, A. (2023). Patch or exploit? NVD assisted classification of vulnerability-related github pages. International Symposium on Cyber Security, Cryptology, and Machine Learning.

Ponce, L. M. S. et al. (2022). Caracterização escalável de vulnerabilidades de segurança: um estudo de caso na internet brasileira. SBRC.

Rokon, M. O. F., Islam, R., et al. (2020). SourceFinder: Finding malware source-code from publicly available repositories in GitHub. RAID, pages 149–163.

Suciu, O. et al. (2022). Expected exploitability: Predicting the development of functional vulnerability exploits. In USENIX Security, pages 377–394.

Wang, X. et al. (2021). PatchDB: A large-scale security patch dataset. In IEEE/IFIP Conf. Dependable Systems and Networks (DSN), pages 149–160. IEEE.

Yadmani, S. E., The, R., and Gadyatskaya, O. (2022). Beyond the surface: Investigating malicious CVE proof of concept exploits on github. arXiv preprint arXiv:2210.08374.

Yoon, S.-S. et al. (2023). Vulnerability assessment based on real world exploitability for prioritizing patch applications. In CSNet, pages 62–66. IEEE.