奇安信宣告《2021中国软件供应链安全分析报告》
发布时间：2021-06-08 19:16:57 所属栏目：安全 来源：互联网
导读：检测发现，国内企业软件项目100%使用了开源软件；超8成软件项目存在已知高危开源软件漏洞；平均每个软件项目存在66个已知开源软件漏洞。6月2日，奇安信集团在京正式发布《2021中国软件供应链安全分析报告》（下文简称报告），首次对国内软件供应链各个环节的
|
“检测发现，国内企业软件项目100%使用了开源软件；超8成软件项目存在已知高危开源软件漏洞；平均每个软件项目存在66个已知开源软件漏洞。”6月2日，奇安信集团在京正式发布《2021中国软件供应链安全分析报告》（下文简称报告），首次对国内软件供应链各个环节的安全风险，进行了深入细致的研究和解读。
报告认为，随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。
图：奇安信集团代码安全事业部总经理、代码安全实验室主任黄永刚
“吃了不好的食品会生病，用了不好的软件会被攻击”，奇安信集团代码安全事业部总经理、代码安全实验室主任黄永刚举了一个形象的例子。“拿牛奶来说，从奶农、奶站到车间，各个环节都可能导致原材料被污染，造成食品安全问题。同样，软件供应链可划分为开发、交付、运行三个大的环节，每个环节都可能会引入供应链安全风险从而遭受攻击，上游环节的安全问题会传递到下游环节并被放大。”
每1000行代码就有超过10个安全缺陷
源代码是软件的原始形态，位于软件供应链的源头。源代码安全是软件供应链安全的基础，其地位非常关键。
报告显示，2020年全年，奇安信代码安全实验室对2001个国内企业自主开发的软件项目源代码进行了安全缺陷检测，检测的代码总量为335011173行，共发现安全缺陷3387642个，其中高危缺陷361812个，整体缺陷密度为10.11个/千行，高危缺陷密度为1.08个/千行。
开源软件的安全缺陷则更加密集。2020年全年,“奇安信开源项目检测计划”对1364个开源软件项目的源代码进行了安全检测，代码总量为124296804行，共发现安全缺陷1859129个，其中高危缺陷117738个。2020年检测的1364个开源软件项目整体缺陷密度为14.96个/千行，高危缺陷密度为0.95个/千行。
超8成项目存在高危开源软件漏洞
与企业自主编写的源代码相同，开源软件同样位于软件供应链的源头。国际知名咨询机构Gartner表示，现代软件大多数是被“组装”出来的，不是被“开发”出来的。在奇安信代码安全实验室分析的2557个国内企业软件项目中，无一例外，均使用了开源软件。
在2557个国内企业软件项目中，共检出168604个已知开源软件漏洞（涉及到4166个唯一CVE漏洞编号），平均每个软件项目存在66个已知开源软件漏洞，最多的软件项目存在1200个已知开源软件漏洞。
其中，存在已知开源软件漏洞的项目有2280个，占比高达89.2%；存在已知高危开源软件漏洞的项目有2062个，占比为80.6%；存在已知超危开源软件漏洞的项目有1802个，占比为70.5%。影响范围最大的开源软件漏洞为Spring Framework安全漏洞（漏洞编号为CVE-2020-5421），影响了44.3%的软件项目。
值得警惕的是，在所有存在已知开源软件漏洞的项目中，部分软件项目中竟然还存在多年前已公开并修复的古老漏洞，最古老的漏洞是2005年11月公开的CVE-2005-3510，仍然存在于31个项目中。
 （编辑：阜新站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
