搜索

[25270] 2016-07-20_带有已知安全漏洞的开源组件仍被广泛使用

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2016-07-20_带有已知安全漏洞的开源组件仍被广泛使用 带 有 已 知 安 全 漏 洞 的 开 源 组 件 仍 被 广 泛 使 用 原 创   译 者 ： w x y   L i n u x 中 国   2 0 1 6 - 0 7 - 2 0 提 供   M a v e n   中 央 仓 库 托 管 服 务 的   S o n a t y p e   公 司 说 ，   J a v a   组 件 下 载 中 ， 有   1 / 1 6   的 下 载 组 件 中 包 含 了 已 知 的 安 全 问 题 。 S o n a t y p e   声 称 ， 开 发 者 们 每 年 要 下 载 超 过   3 1 0   亿 个 / 次   J a v a   组 件 ， 每 天 也 会 新 增 超 过   1   千 个 新 组 件 以 及 超 过   1   万 个 的 组 件 新 版 本 。 现 在 企 业 都 采 用 托 管 式 的 中 央 组 件 仓 库 来 存 储 他 们 的 代 码 。 这 些 代 码 中 有 一 些 来 自 私 有 项 目 ， 而 更 多 的 则 来 自 于 开 源 代 码 ， 在 多 数 情 况 下 ， 他 们 只 是 下 载 开 源 代 码 并 导 入 到 其 项 目 中 ， 而 不 做 必 要 的 安 全 审 计 。 S o n a t y p e   发 现 现 在 企 业 中 的 百 分 之 八 、 九 十 的 代 码 都 是 由 开 源 组 件 构 成 的 ， 它 们 直 接 来 自 公 开 的 代 码 导 入 。 由 于 这 些 安 全 缺 陷 都 是 公 开 的 ， 而 且   S o n a t y p e   能 够 访 问 到 其 托 管 服 务 的 服 务 器 统 计 数 据 ， 相 比 其 他 人 来 说 他 们 得 到 的 数 据 会 更 多 ， 因 此 他 们 警 告 开 发 者 们 要 注 意 在 他 们 的 代 码 中 使 用 不 安 全 的 或 过 期 的 组 件 所 带 来 的 风 险 。 这 个 警 告 对 于 公 司 来 说 更 加 严 重 ， 因 为 如 果 攻 击 者 对 采 用 有 缺 陷 的 组 件 创 建 的 应 用 进 行 攻 击 ， 结 果 就 可 能 导 致 更 多 的 经 济 损 失 。 更 老 的 组 件 的 缺 陷 率 高 达 三 倍 更 老 的 组 件 的 缺 陷 率 高 达 三 倍 在 分 析 了 来 自 几 个 不 同 行 业 的 三 千 家 机 构 的 两 万 五 千 个 以 上 的 企 业 应 用 之 后 ， S o n a t y p e   发 现 平 均 每 年 每 个 企 业 都 会 下 载 大 约 五 千 个 不 同 的 组 件 。 组 件 越 老 ， 就 越 有 可 能 包 含 安 全 缺 陷 。 甚 至 更 糟 糕 的 是 ，   其 中   9 7 %   的 下 载 的 组 件 不 能 很 方 便 的 跟 踪 和 审 计 。 而 如 果 公 司 仅 仅 是 要 修 复 两 千 个 应 用 中 的   1 0 %   的 安 全 漏 洞 ， 就 大 约 需 要   7 4 2   万 美 金 的 巨 额 投 入 。 这 些 问 题 说 明 企 业 需 要 对 软 件 供 应 链 进 行 管 理 ， 以 避 免 将 来 出 现 的 缺 陷 问 题 。 花 费 在 组 件 安 全 审 计 上 的 时 间 ， 将 在 该 项 目 的 以 后 出 现 安 全 漏 洞 后 得 到 回 报 。 从 这 种 托 管 的 中 央 代 码 仓 库 中 移 除 有 缺 陷 的 组 件 也 应 该 成 为 这 些 项 目 背 后 的 社 区 的 最 高 优 先 级 的 工 作 。 软 件 供 应 链 报 告 [ 1 ] 中 包 含 了 当 今 软 件 供 应 链 的 更 多 信 息 。
S o n a t y p e   r e p o r t   f i n d i n g s [ 1 ] :   h t t p : / / w w w . s o n a t y p e . c o m / h u b f s / S S C / 2 0 1 6 _ S t a t e _ o f _ t h e _ S o f t w a r e _ S u p p l y _ C h a i n _ R e p o r t . p d f 推 荐 文 章 推 荐 文 章 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章
将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理