搜索

[15573] 2020-07-05_安全研究：2019年流行的开源项目漏洞数量翻了一倍

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2020-07-05_安全研究：2019年流行的开源项目漏洞数量翻了一倍 安 全 研 究 ： 2 0 1 9 年 流 行 的 开 源 项 目 漏 洞 数 量 翻 了 一 倍 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 7 - 0 5 近 期 ， 安 全 专 家 们 对 目 前 最 热 门 的 近 期 ， 安 全 专 家 们 对 目 前 最 热 门 的 5 4 个 开 源 项 目 进 行 了 分 析 和 研 究 ， 并 且 发 现 这 些 开 源 工 具 中 存 在 的 安 全 漏 洞 个 开 源 项 目 进 行 了 分 析 和 研 究 ， 并 且 发 现 这 些 开 源 工 具 中 存 在 的 安 全 漏 洞 数 量 在 数 量 在 2 0 1 9 年 翻 了 一 倍 。 因 为 年 翻 了 一 倍 。 因 为 2 0 1 8 年 相 同 开 源 项 目 中 的 漏 洞 仅 为 年 相 同 开 源 项 目 中 的 漏 洞 仅 为 4 2 1 个 ， 而 在 去 年 这 些 项 目 中 的 漏 洞 数 量 激 增 个 ， 而 在 去 年 这 些 项 目 中 的 漏 洞 数 量 激 增 为 了 为 了 9 6 8 个 。 个 。 根 据 R i s k S e n s e 近 期 发 布 的 《 T h e   D a r k   R e a l i t y   o f   O p e n   S o u r c e 》 报 告 ， R i s k S e n s e 的 安 全 研 究 专 家 在 2 0 1 5 年 至 2 0 2 0 年 3 月 份 之 间 ， 在 当 前 热 门 的 开 源 项 目 中 总 共 发 现 并 报 告 了 2 6 9 4 个 安 全 漏 洞 。 但 是 ， 这 份 报 告 中 并 没 有 涵 盖 类 似 L i n u x 、 W o r d P r e s s 、 D r u p a l 等 非 常 热 门 的 免 费 工 具 或 项 目 ， 因 为 这 些 项 目 是 经 常 被 安 全 人 员 监 控 着 的 ， 这 些 项 目 中 一 旦 出 现 了 安 全 漏 洞 ， 也 会 在 很 短 的 时 间 内 得 到 修 复 。 但 是 ， R i s k S e n s e 关 注 的 是 其 他 热 门 的 开 源 项 目 ， 相 比 上 述 的 开 源 项 目 来 说 ， 这 些 项 目 的 关 注 度 并 没 有 那 么 高 ， 但 是 它 们 仍 然 被 技 术 社 区 和 软 件 社 区 所 广 泛 使 用 ， 比 如 说 J e n k i n s 、 M o n g o D B 、 E l a s t i c s e a r c h 、 C h e f 、 G i t L a b 、 S p a r k 、 P u p p e t 等 工 具 。 R i s k S e n s e 的 研 究 人 员 表 示 ， 他 们 在 研 究 过 程 中 发 现 的 一 个 主 要 问 题 是 ， 他 们 分 析 的 大 量 安 全 漏 洞 都 是 已 经 在 被 公 开 披 露 数 周 后 才 被 上 报 给 国 家 漏 洞 数 据 库 （ N V D ） 的 。 研 究 人 员 表 示 ， 在 这 5 4 个 项 目 中 被 发 现 的 漏 洞 ， 平 均 需 要 5 4 天 天 才 能 被 上 报 给 N V D ， 而 针 对 P o s t g r e S Q L 的 漏 洞 报 告 甚 至 会 延 长 至 8 个 月 才 能 得 到 上 报 。 下 面 给 出 的 是 R i s k S e n s e 提 供 的 项 目 漏 洞 报 告 延 迟 天 数 表 ：
由 于 网 络 安 全 和 I T 软 件 公 司 大 多 都 会 使 用 N V D 数 据 库 来 创 建 和 发 送 安 全 警 报 ， 而 漏 洞 报 告 的 延 迟 将 导 致 公 司 组 织 或 旗 下 产 品 暴 露 在 安 全 风 险 之 下 。 除 此 之 外 ， 这 种 漏 洞 报 告 延 迟 还 将 允 许 网 络 犯 罪 分 子 拥 有 充 足 的 时 间 来 开 发 和 部 署 漏 洞 利 用 程 序 ， 并 丰 富 自 己 的 武 器 库 。 R i s k S e n s e 的 研 究 人 员 表 示 ， 在 他 们 所 分 析 的 5 4 个 热 门 开 源 项 目 中 ， 针 对 J e n k i n s 自 动 化 服 务 器 和 M y S Q L 数 据 库 服 务 器 的 漏 洞 利 用 工 具 是 自 2 0 1 5 年 以 来 最 多 的 ， 分 别 都 有 1 5 个 已 成 熟 的 武 器 化 漏 洞 利 用 工 具 。 下 面 给 出 的 是 各 个 开 源 项 目 对 应 的 C V E 漏 洞 数 量 以 及 漏 洞 利 用 工 具 数 量 ：
由 此 可 见 ， 漏 洞 数 量 其 实 跟 漏 洞 利 用 工 具 数 量 之 间 并 没 有 直 接 的 联 系 。 虽 然 其 他 开 源 项 目 的 安 全 漏 洞 较 少 ， 但 这 些 安 全 漏 洞 有 时 更 容 易 被 武 器 化 ， 例 如 V a g r a n t 虚 拟 化 软 件 和 A l f r e s c o 内 容 管 理 系 统 。 下 面 给 出 的 是 各 个 项 目 漏 洞 武 器 化 C V E 百 分 比 ： 在 现 在 所 有 的 商 业 软 件 项 目 中 ， 开 源 项 目 几 乎 占 了 9 9 % ， 毫 无 疑 问 ， 现 在 正 是 需 要 改 进 开 源 项 目 内 部 以 及 整 个 行 业 处 理 安 全 漏 洞 的 方 式 的 最 佳 时 机 。 这 一 点 ， 比 以 往 任 何 时 候 都 更 加 紧 要 ， 因 为 “ 开 源 项 目 正 在 以 历 史 上 最 快 的 速 度 产 生 新 的 漏 洞 ” 。 参 考 来 源 参 考 来 源 h t t p s : / / w w w . z d n e t . c o m / a r t i c l e / v u l n e r a b i l i t i e s - i n - p o p u l a r - o p e n - s o u r c e - p r o j e c t s - d o u b l e d - i n - 2 0 1 9 /
* 本 文 作 者 ： 本 文 作 者 ： A l p h a _ h 4 c k ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理