搜索

[10982] 2017-02-02_Android是今年的漏洞之王？CVEDetails的数据根本就不靠谱！

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2017-02-02_Android是今年的漏洞之王？CVEDetails的数据根本就不靠谱！ A n d r o i d 是 今 年 的 漏 洞 之 王 ？ C V E   D e t a i l s 的 数 据 根 本 就 不 靠 谱 ！ c x t   F r e e B u f   2 0 1 7 - 0 2 - 0 2 在 刚 刚 过 去 的 一 月 份 ， 与 往 年 相 同 ， 媒 体 们 又 在 忙 着 报 导 过 去 一 年 的 漏 洞 统 计 。 同 样 ， 在 刚 刚 过 去 的 一 月 份 ， 与 往 年 相 同 ， 媒 体 们 又 在 忙 着 报 导 过 去 一 年 的 漏 洞 统 计 。 同 样 ， C V E   D e t a i l s 的 小 伙 伴 们 也 精 心 准 备 的 小 伙 伴 们 也 精 心 准 备 了 基 于 了 基 于 C V E （ （ C o m m o n   V u l n e r a b i l i t i e s   &   E x p o s u r e s ， 公 共 漏 洞 和 暴 露 ） 统 计 的 大 把 夸 张 数 据 。 媒 体 朋 友 们 也 照 例 频 频 赏 光 咬 ， 公 共 漏 洞 和 暴 露 ） 统 计 的 大 把 夸 张 数 据 。 媒 体 朋 友 们 也 照 例 频 频 赏 光 咬 饵 ， 发 布 的 都 是 诸 如 饵 ， 发 布 的 都 是 诸 如 “ 安 卓 当 选 安 卓 当 选 2 0 1 6 漏 洞 之 王 漏 洞 之 王 ” 一 类 吸 引 眼 球 的 头 条 。 一 类 吸 引 眼 球 的 头 条 。 （ 看 着 眼 熟 ？ 点 击 阅 读 原 文 回 顾 更 多 内 容 ） 尽 管 这 些 头 条 可 能 每 年 都 会 让 热 衷 此 类 话 题 的 人 觉 得 有 趣 ， 但 安 全 研 究 者 C r a i g   Y o u n g 却 认 为 ， 在 这 种 表 象 之 下 很 少 被 提 及 的 一 点 是 ： 这 些 统 计 数 字 几 乎 毫 无 意 义 ， 也 没 能 就 不 同 产 品 间 的 安 全 性 做 出 任 何 比 较 。 下 面 这 篇 文 章 将 解 释 他 这 样 说 的 原 因 。 同 时 ， 作 者 也 鼓 励 有 兴 趣 了 解 更 多 的 人 去 观 看 S t e v e   C r i s t e y 和 B r i a n   M a r t i n 在 2 0 1 3 年 B l a c k   H a t 大 会 上 的 讲 话 “ B u y i n g   i n t o   t h e   B i a s :   W h y   V u l n e r a b i l i t y   S t a t i s t i c s   S u c k ” （ 点 击 阅 读 原 文 观 看 视 频 ） 数 据 来 源 有 限 的 数 据 来 源 有 限 的 C V E 统 计 统 计 我 们 可 以 这 样 认 为 ： 漏 洞 统 计 为 产 品 安 全 提 供 了 最 直 观 的 指 示 。 但 同 时 我 们 也 应 该 意 识 到 ： 从 来 就 没 有 ， 将 来 也 不 会 存 在 一 个 真 正 意 义 上 既 综 合 又 完 整 的 安 全 漏 洞 索 引 。 C V E 或 其 他 漏 洞 数 据 库 只 能 记 录 他 们 所 知 的 漏 洞 或 其 他 漏 洞 数 据 库 只 能 记 录 他 们 所 知 的 漏 洞 ， 通 常 这 些 资 料 来 自 于 厂 商 报 告 或 由 安 全 研 究 者 提 交 。 遗 憾 的 是 ， 许 多 安 全 研 究 者 往 往 并 不 会 把 他 们 发 现 的 漏 洞 一 个 不 剩 地 提 交 ； 厂 商 对 于 将 漏 洞 公 之 于 众 这 种 事 也 是 习 惯 能 躲 就 躲 。 （ 这 种 做 法 在 学 界 有 个 称 呼 ： P u b l i c a t i o i n   B i a s — — 发 表 偏 倚 ） 。 而 那 些 未 被 发 现 的 漏 洞 ， 和 已 确 认 但 易 受 黑 客 恶 意 攻 击 的 漏 洞 ， 在 公 布 之 前 都 不 会 被 列 入 任 何 漏 洞 统 计 。 这 导 致 了 某 些 厂 商 和 软 件 的 漏 洞 统 计 数 量 虚 高 ， 这 些 厂 商 通 常 更 愿 意 披 露 软 件 的 漏 洞 这 导 致 了 某 些 厂 商 和 软 件 的 漏 洞 统 计 数 量 虚 高 ， 这 些 厂 商 通 常 更 愿 意 披 露 软 件 的 漏 洞 细 节 细 节 — — 比 如 说 谷 歌 和 比 如 说 谷 歌 和 A n d r o i d 。 。 当 当 C V E 涉 及 产 品 面 过 宽 时 涉 及 产 品 面 过 宽 时 同 时 ， 当 一 个 漏 洞 影 响 产 品 数 量 众 多 时 ， C V E — — 尤 其 是 C V E   D e t a i l s — — 对 于 漏 洞 的 统 计 实 际 上 不 够 科 学 。 之 所 以 这 么 说 ， 与 一 条
C V E 究 竟 如 何 命 名 ， 以 及 M I T R E 和 C V E   D e t a i l s 所 掌 握 的 有 限 资 源 是 相 关 的 。 比 如 ， 不 同 产 品 可 能 会 共 享 组 件 或 代 码 库 ， 但 是 比 如 ， 不 同 产 品 可 能 会 共 享 组 件 或 代 码 库 ， 但 是 C V E   D e t a i l s 却 并 不 总 是 能 把 一 个 漏 洞 关 联 到 使 用 了 问 题 代 码 的 全 部 产 品 上 。 却 并 不 总 是 能 把 一 个 漏 洞 关 联 到 使 用 了 问 题 代 码 的 全 部 产 品 上 。 就 拿 W e b K i t 来 说 ， 我 们 经 常 会 发 现 在 审 查 C h r o m e 时 发 现 的 漏 洞 （ 当 C h r o m e 还 在 使 用 W e b k i t 时 ） 也 会 影 响 到 S a f a r i 浏 览 器 ， C V E D e t a i l s 很 少 会 把 这 样 的 漏 洞 条 目 也 关 联 到 S a f a r i 上 。 比 如 说 C V E - 2 0 1 3 - 0 9 1 2 （ 阅 读 原 文 查 看 ） — — 苹 果 提 供 的 报 告 已 经 关 联 到 该 C V E 条 目 ， 但 C V E   D e t a i l s 却 并 没 有 把 这 个 C V E 绑 定 到 任 何 版 本 的 S a f a r i 上 。 这 样 一 来 ， 2 0 1 3 年 C h r o m e 漏 洞 统 计 数 上 去 了 一 个 ，   S a f a r i 漏 洞 统 计 数 却 差 了 一 个 。 再 举 个 例 子 ： 有 些 东 西 ， 像 O p e n S S L 和 L i n u x 内 核 使 用 得 非 常 广 泛 ， 一 旦 这 两 者 存 在 漏 洞 ， 则 波 及 的 产 品 也 将 非 常 广 泛 — — 但 实 际 情 况 是 要 将 所 有 受 影 响 的 产 品 列 举 出 来 是 不 现 实 的 。 那 么 现 实 又 是 如 何 呢 ？ 目 前 的 做 法 一 般 是 把 上 报 的 漏 洞 跟 最 先 发 现 存 在 此 漏 洞 的 产 品 关 联 起 来 。 忙 不 过 来 的 忙 不 过 来 的 M I T R E C V E 的 另 一 个 问 题 在 近 几 年 尤 为 突 出 ： M I T R E 有 些 处 理 不 过 来 海 量 的 漏 洞 提 交 有 些 处 理 不 过 来 海 量 的 漏 洞 提 交 — — 详 情 可 回 顾 C V E 命 名 申 请 遭 大 量 延 误 （ 阅 读 原 文 查 看 ） 和 C V E - a s s i g n 邮 件 地 址 的 最 终 停 用 （ 阅 读 原 文 查 看 ） 。 而 且 要 让 而 且 要 让 C V E 条 目 最 终 公 布 ， 必 须 满 足 某 些 条 件 ， 条 目 最 终 公 布 ， 必 须 满 足 某 些 条 件 ， 比 如 你 得 提 交 相 关 报 告 的 U R L 或 者 发 布 关 于 此 漏 洞 的 博 客 文 章 。 针 对 不 同 漏 洞 报 告 ， M I T R E 花 费 的 反 应 时 间 也 各 不 相 同 。 有 些 几 小 时 内 就 会 处 理 好 ， 有 些 则 要 花 上 几 周 甚 至 几 个 月 — — 前 提 是 M I T R E 理 你 的 话 。 而 且 他 们 针 对 不 同 漏 洞 投 入 的 时 间 ， 似 乎 与 漏 洞 严 重 程 度 或 软 件 流 行 程 度 也 没 什 么 关 系 。 笔 者 曾 在 2 0 1 5 年 末 提 交 过 一 票 C V E 漏 洞 ， 但 由 于 积 卷 如 山 ， 这 些 漏 洞 没 有 得 到 任 何 反 馈 。 而 且 笔 者 提 交 的 C V E 条 目 ， 有 上 百 个 从 未 被 M I T R E 公 布 — — 厂 商 还 没 有 公 开 承 认 这 些 漏 洞 ， 笔 者 表 示 也 没 有 时 间 把 每 一 条 漏 洞 都 在 博 客 里 详 细 阐 明 。 这 些 因 素 加 在 一 起 构 成 了 对 处 理 安 全 问 题 认 真 负 责 的 厂 商 的 抽 样 偏 差 ， 也 导 致 那 些 开 源 和 有 漏 洞 奖 励 计 划 的 产 品 ， 在 这 些 因 素 加 在 一 起 构 成 了 对 处 理 安 全 问 题 认 真 负 责 的 厂 商 的 抽 样 偏 差 ， 也 导 致 那 些 开 源 和 有 漏 洞 奖 励 计 划 的 产 品 ， 在 C V E - D e t a i l s 中 的 漏 洞 数 量 无 端 膨 胀 。 中 的 漏 洞 数 量 无 端 膨 胀 。 中 枪 的 中 枪 的 A n d r o i d 开 源 就 意 味 着 运 用 数 据 分 析 和 F u z z i n g 工 具 （ 如 A m e r i c a n   F u z z y   L o p ） 审 查 安 全 漏 洞 变 得 格 外 简 单 。 （ 这 就 要 谈 到 选 择 偏 见 了 ， 安 全 安 全 工 作 者 更 倾 向 于 研 究 开 源 软 件 或 具 有 金 钱 激 励 的 产 品 工 作 者 更 倾 向 于 研 究 开 源 软 件 或 具 有 金 钱 激 励 的 产 品 ） 这 使 得 开 源 软 件 天 生 就 在 安 全 问 题 上 显 得 更 加 透 明 ， 因 为 更 改 代 码 通 常 是 有 据 可 查 的 ， 而 且 研 究 者 也 没 有 那 么 多 的 法 律 顾 虑 。
B u g 赏 金 也 扮 演 着 重 要 角 色 ， 不 仅 是 因 为 这 使 得 研 究 者 有 仔 细 检 查 产 品 ， 挖 掘 更 多 漏 洞 的 动 机 ， 也 是 因 为 通 用 平 台 上 存 在 的 漏 洞 往 往 会 与 第 一 个 曝 出 此 问 题 的 产 品 关 联 起 来 。 这 些 因 素 加 起 来 ， 使 得 大 众 可 能 对 像 A n d r o i d 这 样 一 个 开 源 ， 拥 有 b u g 赏 金 项 目 的 系 统 产 生 了 极 度 不 靠 谱 的 印 象 。 此 外 ， 由 于 由 于 A n d r o i d 开 源 的 本 质 ， 有 许 多 手 机 厂 商 生 产 了 各 种 定 制 程 序 来 支 持 某 些 特 定 硬 件 或 提 供 某 些 全 新 功 能 。 开 源 的 本 质 ， 有 许 多 手 机 厂 商 生 产 了 各 种 定 制 程 序 来 支 持 某 些 特 定 硬 件 或 提 供 某 些 全 新 功 能 。 这 些 程 序 甚 至 都 不 一 定 包 含 在 安 卓 官 方 的 开 源 计 划 中 ， 但 其 中 的 漏 洞 却 仍 然 被 算 到 C V E   D e t a i l s 里 A n d r o i d 系 统 的 统 计 数 据 中 去 。 举 个 例 子 ， 三 星 G a l a x y 系 列 智 能 手 机 曾 被 曝 出 自 家 代 码 的 一 系 列 漏 洞 ， 这 些 漏 洞 最 终 都 被 归 结 为 A n d r o i d 系 统 的 问 题 。 但 事 实 上 它 们 除 了 G a l a x y 手 机 之 外 没 有 影 响 到 任 何 安 卓 设 备 。 与 此 类 似 ， 有 些 A n d r o i d 系 统 中 同 样 可 被 利 用 的 L i n u x 内 核 漏 洞 （ 如 C V E - 2 0 1 6 - 7 9 1 7 ） ， 也 被 C V E   D e t a i l s 归 类 到 L i n u x 内 核 问 题 而 不 是 A n d r o i d 或 其 他 任 何 L i n u x 问 题 。 思 考 思 考 作 者 在 文 末 列 举 了 他 认 为 更 值 得 关 注 的 问 题 ： 假 设 有 两 个 相 当 复 杂 的 软 件 包 ， 有 没 有 一 种 方 法 能 够 科 学 地 比 较 两 者 哪 个 安 全 性 更 高 ？ 有 没 有 一 种 方 法 能 令 人 信 服 地 衡 量 系 统 的 安 全 程 度 ？ 作 者 认 为 ， 这 个 问 题 实 际 上 相 当 复 杂 ， 他 本 人 也 没 有 答 案 — — 信 息 安 全 通 常 被 看 做 是 计 算 机 科 学 的 一 个 分 支 ， 但 信 息 安 全 在 实 操 中 缺 少 基 本 的 科 学 论 证 方 法 。 （ 点 击 阅 读 原 文 观 看 视 频 ） * 参 考 来 源 ： T r i p W i r e ， F B 小 编 c x t 编 译 ， 引 用 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理