搜索

[11869] 2017-10-08_开源软件安全现状分析报告

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-10-08_开源软件安全现状分析报告 开 源 软 件 安 全 现 状 分 析 报 告 3 6 0 代 码 卫 士   F r e e B u f   2 0 1 7 - 1 0 - 0 8 一 、 背 景 情 况 一 、 背 景 情 况 开 源 软 件 具 有 开 放 、 共 享 、 自 由 等 特 性 ， 在 软 件 开 发 中 扮 演 着 越 来 越 重 要 的 角 色 ， 也 是 软 件 供 应 链 的 重 要 组 成 开 源 软 件 具 有 开 放 、 共 享 、 自 由 等 特 性 ， 在 软 件 开 发 中 扮 演 着 越 来 越 重 要 的 角 色 ， 也 是 软 件 供 应 链 的 重 要 组 成 部 分 。 据 部 分 。 据 G a r t n e r 调 查 显 示 ， 调 查 显 示 ， 9 9 % 的 组 织 在 其 的 组 织 在 其   I T 系 统 中 使 用 了 开 源 软 件 。 而 来 自 系 统 中 使 用 了 开 源 软 件 。 而 来 自 S o n a t y p e 公 司 的 一 项 调 查 则 显 公 司 的 一 项 调 查 则 显 示 ， 在 参 与 调 查 的 示 ， 在 参 与 调 查 的 3 0 0 0 家 企 业 中 ， 每 年 每 家 企 业 平 均 下 载 家 企 业 中 ， 每 年 每 家 企 业 平 均 下 载   5 0 0 0 个 开 源 软 件 。 个 开 源 软 件 。 然 而 ， 开 源 软 件 中 存 在 大 量 的 安 全 隐 患 ， 企 业 在 享 受 开 源 软 件 带 来 的 便 利 的 同 时 ， 也 在 承 担 着 巨 大 的 安 全 风 险 。 近 年 来 ， 开 源 软 件 频 繁 爆 出 高 危 漏 洞 ， 例 如 S t r u s t s 2 、 O p e n S S L 等 。 这 些 组 件 很 多 都 应 用 于 信 息 系 统 的 底 层 ， 并 且 应 用 范 围 非 常 广 泛 ， 因 此 漏 洞 带 来 的 安 全 危 害 非 同 一 般 。 美 国 首 先 认 识 到 开 源 软 件 安 全 问 题 的 重 要 性 ， 早 在 2 0 0 6 年 ， 美 国 国 土 安 全 部 就 资 助 C o v e r i t y 公 司 开 展 “   开 源 软 件 代 码 测 试 计 划 ” ， 针 对 大 量 开 源 软 件 进 行 安 全 隐 患 的 筛 查 和 加 固 ， 截 至 2 0 1 7 年 2 月 ， 累 计 检 测 各 种 开 源 软 件   7 0 0 0 多 个 ， 发 现 大 量 安 全 缺 陷 。 鉴 于 上 述 形 势 ， 3 6 0 代 码 卫 士 团 队 基 于 自 身 技 术 积 累 和 产 品 能 力 ， 在 2 0 1 5 年 初 发 起 了 国 内 的 “   开 源 项 目 检 测 计 划 （ w w w . c o d e s a f e . c n ） ” ， 这 项 计 划 是 针 对 开 源 软 件 的 一 项 公 益 性 安 全 检 测 计 划 ， 旨 在 让 广 大 开 发 者 关 注 和 了 解 开 源 软 件 安 全 问 题 ， 提 高 软 件 安 全 开 发 意 识 和 技 能 。 截 止   2 0 1 7 年 初 ， 该 计 划 已 检 测 2 2 2 8 个 开 源 项 目 ， 获 得 了 大 量 的 缺 陷 检 测 基 础 数 据 。 本 文 即 是 在 此 之 上 进 行 的 统 计 和 分 析 。 二 、 开 源 项 目 检 测 计 划 数 据 和 实 例 分 析 二 、 开 源 项 目 检 测 计 划 数 据 和 实 例 分 析 从 2 0 1 5 年 初 到 2 0 1 7 年 初 两 年 多 时 间 中 ， 3 6 0   代 码 卫 士 团 队 从 G i t H u b 、 S o u r c e f o r g e 等 代 码 托 管 网 站 和 开 源 社 区 中 选 取 了 2 2 2 8   个 使 用 比 较 广 泛 的 开 源 项 目 进 行 检 测 ， 涉 及 的 开 发 语 言 包 括 C / C + + / C # / J a v a 等 。 检 测 代 码 总 量 2 5 7 , 8 3 5 , 5 7 4 行 ， 发 现 源 代 码 缺 陷 2 , 6 2 6 , 3 5 2   个 ， 所 有 检 测 项 目 的 总 体 平 均 缺 陷 密 度 为 1 0 . 1 9 个 / 千 行 。 针 对 安 全 缺 陷 检 测 结 果 ， 3 6 0 代 码 卫 士 团 队 从 多 个 视 角 进 行 了 统 计 分 析 ， 并 归 纳 总 结 出 开 源 软 件 的 安 全 现 状 。 本 次 分 析 主 要 从 以 下 3 个 维 度 对 检 测 结 果 进 行 说 明 ： l   依 据 缺 陷 危 害 程 度 、 可 利 用 性 、 受 关 注 度 等 因 素 ， 在 所 有 缺 陷 类 型 中 ， 选 择 1 0 大 重 要 缺 陷 进 行 数 据 统 计 ， 同 时 统 计 所 有 开 源 项 目 中 存 在 这 些 缺 陷 的 比 例 ， 以 展 示 开 源 项 目 中 重 要 缺 陷 的 分 布 情 况 。 l   参 考 代 码 托 管 网 站 和 开 源 社 区 的 项 目 F o r k 值 、 下 载 量 等 指 标 ， 选 取 2 0   个 流 行 项 目 的 检 测 结 果 进 行 深 度 分 析 ， 分 析 从 缺 陷 总 数 、 1 0 大 重 要 缺 陷 总 数 以 及 缺 陷 密 度 三 个 角 度 进 行 ， 以 说 明 流 行 开 源 项 目 的 源 代 码 安 全 状 况 。 l   综 合 统 计 2 2 2 8 个 被 分 析 的 开 源 项 目 ， 排 列 出 缺 陷 总 数 最 高 的 1 0   个 项 目 ， 以 说 明 安 全 风 险 相 对 较 高 的 开 源 项 目 的 情 况 。 1 、 、 1 0 大 重 要 缺 陷 统 计 大 重 要 缺 陷 统 计 在 所 有 检 出 缺 陷 种 类 中 ， 依 据 缺 陷 类 型 的 危 害 程 度 、 受 关 注 度 等 因 素 ， 选 择 1 0 类 重 要 缺 陷 进 行 检 测 结 果 分 析 ， 图 1 是 1 0 大 重 要 缺 陷 统 计 列 表 （ 按 检 出 数 量 多 少 排 序 ） ， 图 2 是 1 0 大 重 要 缺 陷 在   2 2 2 8 个 项 目 中 出 现 的 比 率 。
图 1   1 0 大 重 要 缺 陷 统 计 列 表 统 计 结 果 显 示 ， 在 选 取 的 1 0 大 重 要 缺 陷 中 ， 检 出 数 量 最 多 的 是 系 统 信 息 泄 露 ， 达 到 1 8 万 余 个 。 而 受 到 开 发 人 员 普 遍 关 注 的 缺 陷 ， 如 S Q L 注 入 、 跨 站 脚 本 也 分 别 检 出 4 0 9 6 和 9 6 1 4 个 ， 这 两 类 缺 陷 是 w e b 攻 击 中 最 常 见 的 两 类 漏 洞 ， 可 见 它 们 依 然 是 w e b 应 用 中 修 复 的 重 点 。 图 2   1 0 大 重 要 缺 陷 检 出 比 例 在 本 次 检 测 的 2 2 2 8 个 项 目 中 ， 有 高 达 8 2 . 9 9 % 的 开 源 项 目 存 在 1 0 大 重 要 漏 洞 ， 说 明 这 1 0 类 缺 陷 普 遍 存 在 ， 应 当 作 为 软 件 安 全 保 障 的 重 点 考 虑 问 题 。 2 、 、 2 0 个 流 行 项 目 检 测 结 果 个 流 行 项 目 检 测 结 果 参 考 代 码 托 管 网 站 和 开 源 社 区 的 项 目 F o r k 值 、 下 载 量 等 指 标 ， 团 队 选 取 了 2 0 个 最 受 欢 迎 项 目 的 检 测 结 果 进 行 了 统 计 分 析 ， 图 3 是 2 0 个 流 行 项 目 缺 陷 数 量 统 计 表 ， 图 4 是 2 0 个 流 行 项 目 出 现 1 0 大 重 要 缺 陷 数 量 统 计 表 ， 图 5 是 2 0 个 流 行 项 目 缺 陷 密 度 统 计 。
图 3   2 0 个 流 行 项 目 缺 陷 总 数 2 0 个 流 行 项 目 中 ， G u a v a 项 目 检 出 的 安 全 缺 陷 数 量 最 多 ， G u a v a 是 G o o g l e 的 一 个 开 源 项 目 ， 包 含 许 多   G o o g l e   核 心 的 J a v a   常 用 库 。 图 4   2 0 个 流 行 项 目 中 1 0 大 重 要 缺 陷 的 总 数 2 0 个 流 行 项 目 中 ， n e t t y 项 目 检 出 1 0 大 重 要 缺 陷 的 总 数 最 多 ， 达 到 3 8 4 个 ， 即 该 项 目 源 代 码 中 存 在 高 风 险 缺 陷 的 数 量 较 多 。 图 5   2 0 个 流 行 项 目 缺 陷 密 度 统 计 缺 陷 密 度 可 以 从 一 定 程 度 上 反 应 项 目 的 安 全 性 。 在 上 述 2 0 个 流 行 项 目 中 ， o k h t t p 的 缺 陷 密 度 最 大 ， 为 4 5 . 2 4 个 / 千 行 ；
o p e n c v 的 缺 陷 密 度 最 小 ， 为 0 . 9 1 个 / 千 行 。 3 、 缺 陷 数 量 、 缺 陷 数 量 T O P   1 0 项 目 项 目 在 检 测 的 2 2 2 8 个 开 源 项 目 中 ， 仅 从 缺 陷 数 量 角 度 ， 对 所 有 项 目 检 出 的 缺 陷 数 量 进 行 排 列 ， 其 中 缺 陷 总 数 最 多 的 1 0 个 项 目 如 图 6 所 示 。 O p e n G a m m a 项 目 成 为 2 2 2 8 个 项 目 中 检 出 缺 陷 数 量 最 多 的 项 目 。 图 6 缺 陷 数 量 T O P 1 0 项 目 4 、 漏 洞 验 证 实 例 分 析 、 漏 洞 验 证 实 例 分 析 通 过 开 源 项 目 检 测 计 划 ， 3 6 0 代 码 卫 士 团 队 自 主 发 现 开 源 软 件 漏 洞 3 1 个 ， 并 已 获 得 2 9 个 C V E 漏 洞 索 引 编 号 。 本 节 基 于 C V E - 2 0 1 5 - 8 8 8 3 漏 洞 进 行 详 细 的 漏 洞 验 证 实 例 分 析 。 该 漏 洞 是 一 个 类 型 混 淆 漏 洞 ， 存 在 于 一 个 由 C 语 言 开 发 的 开 源 流 媒 体 解 析 软 件 包 中 ， 位 于 核 心 处 理 函 数 H a n d l e I n v o k e 中 ， 调 用 A M F _ D e c o d e 函 数 对 b o d y 数 据 进 行 解 码 ， 然 后 将 b o d y 数 据 传 给 了 A M F P r o p _ D e c o d e 函 数 的 p B u f f e r 中 ， 在 A M F P r o p _ D e c o d e 函 数 中 存 在 一 个 s w i t c h 语 句 ， 它 会 根 据 不 同 的 数 据 类 型 标 志 位 对 数 据 进 行 解 码 。 在 我 们 的 p o c 中 ， 根 据 p _ t y p e 调 用 了 A M F _ D e c o d e N u m b e r 函 数 对 p b u f f e r 进 行 了 解 码 。 注 意 数 据 在 随 后 的 使 用 中 实 际 上 是 当 作 一 个 对 象 来 使 用 ， 应 当 使 用 A M F _ D e c o d e 函 数 进 行 解 码 。 如 图 7 所 示 。
图 7 数 据 解 码 过 程 在 调 用 A M F _ D e c o d e 函 数 对 数 据 进 行 解 码 之 后 ， o b j 中 就 存 储 了 解 码 后 的 数 据 。 随 后 在 3 1 0 8 行 中 ， 调 用 A M F _ G e t P r o p 函 数 从 o b j 中 获 取 索 引 为 3 的 p r o p 属 性 数 据 ， 紧 接 着 在 A M F P r o p _ G e t O b j e c t 函 数 中 将 p r o p 中 U n i o n 数 据 p _ v u 以 A M F O b j e c t 对 象 类 型 的 方 式 取 出 ， 并 存 储 到 o b j 2 中 。 在 3 1 0 9 行 中 ， 再 次 调 用 A M F _ G e t P r o p 函 数 从 o b j 2 中 获 取 数 据 。 在 我 们 的 p o c 中 ， o b j 2 中 实 际 上 存 储 的 是 一 个 d o u b l e 数 据 ， 程 序 将 其 当 作 指 针 进 行 使 用 ， 可 能 会 导 致 程 序 访 问 非 法 的 内 存 地 址 。 如 图 8 所 示 。 图 8   非 法 内 存 地 址 访 问 过 程
三 、 结 论 与 建 议 三 、 结 论 与 建 议 从 开 源 项 目 检 测 计 划 所 得 到 的 数 据 来 看 ， 当 前 开 源 软 件 的 安 全 问 题 非 常 严 重 ， 代 码 中 的 安 全 缺 陷 密 度 较 高 。 而 据 N V D 数 据 统 计 ， 截 至 2 0 1 7 年 2 月 ， 全 球 开 源 软 件 相 关 的 已 知 安 全 漏 洞 已 超 过 2 8 0 0 0 个 。 随 着 软 件 开 发 过 程 中 开 源 软 件 的 使 用 越 来 越 多 ， 开 源 软 件 实 际 上 已 经 成 为 软 件 开 发 的 核 心 基 础 设 施 ， 开 源 软 件 的 安 全 问 题 应 该 上 升 到 基 础 设 施 安 全 的 高 度 来 对 待 ， 应 该 得 到 更 多 的 、 更 广 泛 的 重 视 。 而 据 我 们 目 前 观 察 到 的 情 况 ， 当 前 绝 大 多 数 企 业 在 软 件 开 发 过 程 中 ， 对 开 源 软 件 的 使 用 非 常 随 意 ， 管 理 者 常 常 不 清 楚 自 己 的 团 队 在 开 发 过 程 中 使 用 了 哪 些 开 源 软 件 ， 甚 至 程 序 员 自 己 都 无 法 列 出 完 整 的 开 源 软 件 使 用 列 表 。 这 给 信 息 系 统 安 全 风 险 的 管 控 带 来 了 极 大 的 挑 战 ， 系 统 的 运 维 者 不 清 楚 自 己 正 在 运 行 的 软 件 系 统 中 是 否 包 含 了 开 源 软 件 ， 包 含 了 哪 些 开 源 软 件 ， 这 些 开 源 软 件 中 是 否 存 在 安 全 漏 洞 ！ 在 此 我 们 呼 吁 和 建 议 ， 开 发 者 在 软 件 开 发 过 程 中 使 用 开 源 软 件 时 ， 不 应 仅 仅 关 注 开 源 软 件 的 功 能 ， 还 应 把 安 全 作 为 重 要 因 素 纳 入 考 量 ， 尽 可 能 避 免 由 于 不 当 的 使 用 开 源 软 件 而 引 入 严 重 的 安 全 隐 患 。 “ 3 6 0 开 源 项 目 检 测 计 划 ” 愿 与 国 内 广 大 软 件 开 发 者 一 起 ， 关 注 和 防 范 开 源 软 件 安 全 风 险 ， 为 国 内 软 件 的 安 全 开 发 水 平 提 高 贡 献 一 份 力 量 。 开 发 者 可 以 通 过 “ 3 6 0 开 源 项 目 检 测 计 划 ” 网 站 （ w w w . c o d e s a f e . c n ） 了 解 自 己 关 注 的 开 源 软 件 的 安 全 缺 陷 检 测 细 节 ， 3 6 0 企 业 安 全 集 团 也 可 以 提 供 专 业 的 产 品 ， 帮 助 客 户 确 定 在 自 身 软 件 开 发 过 程 中 使 用 了 哪 些 开 源 软 件 ， 并 可 以 帮 助 客 户 持 续 跟 踪 这 些 开 源 软 件 的 安 全 状 况 ， 及 时 防 范 安 全 风 险 。 * 本 文 作 者 ： 3 6 0 开 源 项 目 检 测 计 划 负 责 人 吴 迪 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理