写点什么

开源安全报告:70% 的应用程序存在库引入的漏洞

  • 2020-05-27
  • 本文字数:987 字

    阅读完需:约 3 分钟

开源安全报告:70%的应用程序存在库引入的漏洞


近日,网络安全公司 Veracode 发布“The State of Software Security (SOSS): Open Source Edition”报告。据悉,这份报告分析了 Veracode 平台数据库中 85000 个应用程序的开源组件库,其中包含 351000 个唯一的外部库。Veracode 公司的首席研究员 Chris Eng 表示,开源软件的漏洞多样,让人吃惊!


报告发现,70%的应用程序在初始扫描的开源库中存在安全漏洞。其他重大发现:


  • 每种语言在超过 75%的应用程序中都包含最常用的库;

  • 应用程序中 47%的漏洞库都是传递的;

  • JavaScript 中超过 61%的漏洞库不包含 CVE 对应的漏洞;

  • 使用任何给定的 PHP 库,有超过 50%的机会可能带来安全漏洞;

  • 可以通过较小的版本升级来解决大多数库引入的漏洞


为获得应用安全风险的更多信息,Veracode 分析了库的依赖。许多传递依赖项可能是潜在的攻击面,并会带来意想不到的维护工作负载。


该报告还按照编程语言研究了应用程序通常在哪里获取依赖项。分析人员查看了每个应用程序,从而确定何种编程语言会给维护人员带来意想不到的结果。


研究人员发现,JavaScript、Ruby、PHP 和 Java 的大部分攻击面来自于 transitive inclusions,而.NET、Swift 和 Go 有更直接的依赖性。



此外,研究者也发现来自“Open Web Application Security Project Top 10名单”上的漏洞。


  • Injection(注入漏洞)

  • Broken Authentication(中断身份认证)

  • Sensitive data exposure(敏感数据泄露)

  • XML external entities(XML 外部处理器漏洞)

  • Broken access control(中断访问控制)

  • Security misconfiguration(安全配置错误)

  • Cross-site scripting(XSS)(跨站脚本攻击)

  • Insecure deserialization(不安全的反序列化)

  • Using components with known vulnerabilities(使用含有已知漏洞的组件)

  • Insufficient logging& monitoring(不足的记录和监控漏洞)


根据研究结果,开源库中最普遍的漏洞如下:


  1. 30%的库中发现跨站脚本攻击(XSS);

  2. 23.5%的库中存在不安全的反序列化漏洞;

  3. 20.5%的库中有中断访问控制漏洞


研究者还发现,与其他语言相比,PHP 问题最多,有超过 40%的 PHP 库存在跨站脚本问题以及更严重的中断访问控制和身份认证问题。


不过,尽管 Veracode 分析的几乎每个应用程序都存在因库引入的一些漏洞,但它也指出,补救措施很容易。


经过分析,Veracode 公司的研究人员发现:有 74%的漏洞可以通过更新来解决。同时,这些更新中的大多数都是较小的修复或修补程序,占 71%。


2020-05-27 15:461274

评论

发布
暂无评论
发现更多内容

MySql 全文检索两个字符的内容无法得到结果

DoneSpeak

MySQL

柯桥会计培训到兴德教育!良心机构!

Geek_196d9f

只有思考清晰,才能表达有力!

云祁

读书 7月日更

SpringBoot解决CORS问题

DoneSpeak

springboot

架构训练营模块七作业

Geek_e0c25c

架构实战营

Spring Event初步讲解

DoneSpeak

spring

柯桥插花花艺培训到兴德!良心机构!

Geek_196d9f

n 阶幻方问题

DoneSpeak

algorithm

漏洞挖掘分析技术总结

网络安全学海

运维 网络安全 信息安全 渗透测试· 漏洞分析

CabloyJS 基于 EggJS 实现的模块编译与发布

node.js 全栈

我用一个例子疏通“路由器漏洞&复现”【建议收藏!!】

网络安全学海

运维 网络安全 信息安全 漏洞分析 代码复现

【得物技术】浅谈资损防控

得物技术

测试 质量 稳定性 稳定性测试 资产管理

Protobuf与Json的相互转化

DoneSpeak

json protobuf serialization

为easyexcel设置TimeZone

DoneSpeak

Excel Apache POI

架构设计方法论

king

1.3面向复杂度的架构设计

Lemon

架构设计 架构设计原则

SpringMVC | Controller 返回值及异常的统一处理

DoneSpeak

spring RESTful

用回溯法计算消消乐游戏最大得分

DoneSpeak

algorithm

Spring Security认证流程

DoneSpeak

spring security springsecurity

从Ftrace开始内核探索之旅

mazhen

Linux debug Trace Linux Kenel

如何画好架构图

king

模块7作业

wade

#架构实战营

实现自己的Protobuf Any

DoneSpeak

protobuf

LeetCode | 13. 罗马数字转整数

DoneSpeak

LeetCode algorithm

如何做好架构设计?

king

柯桥摄影培训到兴德教育!良心机构!

Geek_196d9f

初步认识 Stripe 支付

DoneSpeak

Payment

Java 工具箱 | 图片-Base64 互转

DoneSpeak

Protobuf与POJO的相互转化 - 通过Json

DoneSpeak

json protobuf serialization

推荐系统的UI交互与视觉展示(二十七)

Databri_AI

人工智能 算法 推荐系统

Git-Flow规范和指令

DoneSpeak

git Teamwork

开源安全报告:70%的应用程序存在库引入的漏洞_安全_Veronica Combs_InfoQ精选文章