Privbench: A Benchmark Capturing Privilege Escalation Vulnerabilities in Android
Privvench : un banc d'essai pour détecter des vulnérabilités d'escalade de privilèges dans Android
Résumé
Security code smells are receiving increasing attention in the domain of Android app development. They serve as coding guidelines aimed at identifying vulnerabilities originating from the application's source code. Numerous related tools have been proposed to align with DevSecOps guidelines. However, they lack of comparable effort in creating benchmarks for open-source apps, making the thorough evaluation of these tools challenging, and requiring time-consuming manual effort. In this paper, we propose Privbench, an evolving benchmark that captures vulnerabilities related to the Android ecosystem. It incorporates multiple code patterns for each vulnerability. To showcase its significance, we used it to evaluate two well-known tools used to identify Android security code smells. This evaluation focused on Privilege Escalation (PE) vulnerabilities and we present their performance in detecting the vulnerabilities within their scopes. We believe that our benchmark can be useful for advancing the capabilities of state-of-the-art tools, enhancing their effectiveness in vulnerability detection, and increasing developers awareness to evade privilege escalation vulnerabilities.
Les code smells de sécurité prennent une importance croissante dans le domaine du développement d'applications Android. Elles servent à identifier les vulnérabilités provenant du code source de l'application. De nombreux outils ont été proposés pour s'aligner sur les directives DevSecOps. Cependant, ils sont de niveaux très variables quand à la comparaison fiable d'outils d'analyse de vulnérabilités dans les applications open source, ce qui rend l'évaluation approfondie de ces outils difficile et nécessite un effort manuel fastidieux. Dans cet article, nous proposons Privbench, un benckmark évolutif qui capture les vulnérabilités liées à l'écosystème Android. Il intègre plusieurs exemples de code pour chaque vulnérabilité. Pour valider l'approche, nous l'avons utilisé pour évaluer deux outils bien connus utilisés pour identifier les code smells de sécurité Android. Cette évaluation s'est concentrée sur les vulnérabilités d'escalade de privilèges (PE) et nous présentons leurs performances dans la détection des vulnérabilités dans leur contexte. Privbench peut être utile pour faire progresser les capacités des outils de détection de vulnérabilités, améliorer leur efficacité dans la détection des vulnérabilités et sensibiliser les développeurs à échapper aux vulnérabilités d'escalade de privilèges.