From 65bb38541100f9be5dbef33ae9a8c795cfe76580 Mon Sep 17 00:00:00 2001 From: =?UTF-8?q?=E3=80=8A=E6=96=B0=E7=A8=8B=E5=BA=8F=E5=91=98=E3=80=8B?= =?UTF-8?q?=E7=BC=96=E8=BE=91=E9=83=A8?= Date: Wed, 25 May 2022 13:40:58 +0800 Subject: [PATCH] =?UTF-8?q?Update=20=E7=AC=AC8=E7=AB=A0=20=E4=B8=AD?= =?UTF-8?q?=E5=9B=BD=E5=BC=80=E6=BA=90=E5=8F=91=E5=B1=95=E7=9A=84=E6=9C=BA?= =?UTF-8?q?=E9=81=87=E5=92=8C=E6=8C=91=E6=88=98.md?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- ...2\351\201\207\345\222\214\346\214\221\346\210\230.md" | 9 +++++---- 1 file changed, 5 insertions(+), 4 deletions(-) diff --git "a/\343\200\2122022\344\270\255\345\233\275\345\274\200\346\272\220\345\217\221\345\261\225\350\223\235\347\232\256\344\271\246\343\200\213\351\235\236\346\234\200\347\273\210\347\211\210/\347\254\2548\347\253\240 \344\270\255\345\233\275\345\274\200\346\272\220\345\217\221\345\261\225\347\232\204\346\234\272\351\201\207\345\222\214\346\214\221\346\210\230.md" "b/\343\200\2122022\344\270\255\345\233\275\345\274\200\346\272\220\345\217\221\345\261\225\350\223\235\347\232\256\344\271\246\343\200\213\351\235\236\346\234\200\347\273\210\347\211\210/\347\254\2548\347\253\240 \344\270\255\345\233\275\345\274\200\346\272\220\345\217\221\345\261\225\347\232\204\346\234\272\351\201\207\345\222\214\346\214\221\346\210\230.md" index ebae6ad..da26f86 100644 --- "a/\343\200\2122022\344\270\255\345\233\275\345\274\200\346\272\220\345\217\221\345\261\225\350\223\235\347\232\256\344\271\246\343\200\213\351\235\236\346\234\200\347\273\210\347\211\210/\347\254\2548\347\253\240 \344\270\255\345\233\275\345\274\200\346\272\220\345\217\221\345\261\225\347\232\204\346\234\272\351\201\207\345\222\214\346\214\221\346\210\230.md" +++ "b/\343\200\2122022\344\270\255\345\233\275\345\274\200\346\272\220\345\217\221\345\261\225\350\223\235\347\232\256\344\271\246\343\200\213\351\235\236\346\234\200\347\273\210\347\211\210/\347\254\2548\347\253\240 \344\270\255\345\233\275\345\274\200\346\272\220\345\217\221\345\261\225\347\232\204\346\234\272\351\201\207\345\222\214\346\214\221\346\210\230.md" @@ -46,11 +46,12 @@ 而GitHub官方数据显示，2018年新增开源漏洞数也创下近6年新高，新增 7563 个漏洞， 2019年与 2020 年增长率略有下降，2020年发布的漏洞数较 2019 年发布漏洞数少了1746条。具体数据如图1。 -11111111111 +![](https://img-blog.csdnimg.cn/e366d7395bd54c59b2eb300b9e2e2460.png)
*开源漏洞时间分布* 奇安信代码安全实验室《2021中国软件供应链安全分析报告》显示，截至2020年底，CVE/NVD、CNNVD、CNVD等公开漏洞库中共收录开源软件相关漏洞41342个，其中5366个为2020年度新增漏洞。而在奇安信代码安全实验室审计的2557个国内企业软件项目中，存在已知开源软件漏洞的项目有2280个，占比高达89.2%；存在已知高危开源软件漏洞的项目有2062个，占比为80.6%；存在已知超危开源软件漏洞的项目有1802个，占比为70.5%。这些项目中，共检出168604个已知开源软件漏洞（涉及到4166个CVE漏洞编号），平均每个软件项目存在66个已知开源软件漏洞，最多的软件项目存在1200个已知开源软件漏洞。而从漏洞的影响角度来看，最多的Spring Framework安全漏洞CVE-2020-5421影响了44.3%的软件项目，多个漏洞影响了超过30%的项目。输入验证、路径遍历、跨站脚本、注入、NULL引用、资源管理、密码管理、API误用、配置管理、日志伪造等十类安全缺陷是程序员在编写软件代码时经常会出现的典型安全缺陷。在2020年检测的1364个开源软件项目中，十类典型安全缺陷的总体检出率为56.3%，每类典型缺陷的检出率及排名如表1所示。 -1111111111111 +![](https://img-blog.csdnimg.cn/81f313413e9147aebcbfe7884a79b3a2.png)
*基于Log4j 2漏洞的攻击数量迅速上升* + 开源软件漏洞影响范围巨大。 @@ -61,9 +62,9 @@ 据Check Point Research统计漏洞爆发4天（自12月10日至12月13日）情况报告，在Apache Log4j 2漏洞发现早期的12月10日，黑客尝试利用该漏洞进行攻击的次数仅有几千次，但这一数据在隔天却增至4万次。而漏洞爆发72小时后，捕捉到利用该漏洞尝试攻击的行为就已超过83万次，如下图所示。 -111111111111 +![](https://img-blog.csdnimg.cn/3b5abc2556564468b7fd28308d41e944.png)
*基于Log4j 2漏洞的攻击数量迅速上升* - 不仅攻击次数在持续攀升，基于该漏洞的新变种也在短时间内迅速衍生。Log4j 2作为一个基于Java的日志框架影响范围之广远超开发团队的预想，全球近一半企业因为该漏洞受到了黑客的试图攻击。并且由于Apache Log4j 2应用范围大、漏洞修复较为复杂，而利用漏洞却十分简便，因此这Apache Log4j 2漏洞很可能在未来几年内也将一直存在。 +不仅攻击次数在持续攀升，基于该漏洞的新变种也在短时间内迅速衍生。Log4j 2作为一个基于Java的日志框架影响范围之广远超开发团队的预想，全球近一半企业因为该漏洞受到了黑客的试图攻击。并且由于Apache Log4j 2应用范围大、漏洞修复较为复杂，而利用漏洞却十分简便，因此这Apache Log4j 2漏洞很可能在未来几年内也将一直存在。 ### 8.2.2 开源面临法律风险 **开源许可证法律效力有待进一步明确。** -- GitLab