在线客服
扫描二维码
下载博学谷APP扫描二维码
关注博学谷微信公众号
根据Veracode最新发布的年度软件安全现状报告,全球所有应用软件中,70%都包含至少一个开源代码库导致的安全缺陷/漏洞,其中Swift代码库的软件缺陷密度(每个代码库的缺陷数量)已经超过了web安全人士的“衣食父母”——PHP。
Veracode的软件安全状况报告指出,这些开源库(免费的集中式代码存储库,为开发人员提供现成的应用程序“构建块”)不仅无处不在,而且存在风险。
分析检查了85,000个应用程序中的351,000个外部库,发现开源库非常普遍。例如,大多数JavaScript应用程序包含数百个开源库,有些甚至包含1000多个不同的库。此外,大多数语言都具有相同的核心库集。
报告说:“特别是JavaScript和PHP,几乎在每个应用程序中都有几个核心库。”
与其他软件一样,这些库也有bug。问题在于,由于代码复用,单个bug可能会影响数百个应用程序。
Veracode表示:“在当今几乎所有应用程序中,开源库都很重要,它使开发人员可以通过快速添加基本功能来加快开发进度。” “实际上,如果没有这些库,使用软件进行创新几乎是不可能的。但是,缺乏如何正确使用开源库及必要的风险意识已经成为一个严重的问题。”
根据报告,开源代码库中bug最多的四个主要语言是:Swift、.NET、Go和PHP(上图)。
其中Swift的bug密度(7个)高居榜首,而PHP漏洞则分布最广(覆盖近60%的代码库)。由于Swift是Apple生态系统的专业开发语言,因此虽然其bug密度很高,但是分布并不算广泛。
.NET的bug分布百分比在这四个库中最低(不到10%),但其代码库的数量是Swift的17倍以上。
Go包含bug的库比例很高,接近PHP,但是平均每个代码库的bug总数较低。与Go相比,PHP的每代码库bug数量更高(6.5),bug密度是后者的两倍。
不过在可利用PoC数量上,Swift的表现不算最糟糕,PHP依然是无可争议的“王者”:
报告还发现跨站点脚本(XSS)是开源库中最常见的漏洞类别,占比接近30%其次是不安全的反序列化(23.5%)和访问控制入侵(20.3%),如下图所示:
“不安全的反序列化(Insecure Deserialization)过去是自主开发应用程序中相对罕见的缺陷,其排名快速上升令人不安,因为这类缺陷可能导致执行意外的代码路径,这意味着我们不打算使用的库的某些部分也可能会插入到其应用程序的执行路径中。”
数据还显示,由于级联的相互依赖关系,大多数有缺陷的库最终都以代码形式间接存在,因为开发人员使用的开源库库很可能调用了另一个开源库的代码。
“应用程序中47%的有缺陷库都是可传递的,换句话说,它们不是由开发人员直接引入的,而是由第一个被调用的库引入的(42%被直接引入,12%被间接引入)。这意味着开发人员正在引入比预期更多的代码,而且常常是有bug的代码。”
好消息是,大多数最严重的程序漏洞和bug都可通过更新解决。
“仅通过较小的版本更新就可以解决应用程序中大多数被引入的bug(将近75%);根据Veracode报告,bug修补通常不需要对主程序库进行升级,而且超过90%的OWASP TOP 10榜单中最严重的bug,今天都有可用补丁或更新。”
— 申请免费试学名额 —
在职想转行提升,担心学不会?根据个人情况规划学习路线,闯关式自适应学习模式保证学习效果
讲师一对一辅导,在线答疑解惑,指导就业!
相关推荐 更多
程序员培训机构排行榜中IT培训哪家靠谱?
建议选择博学谷,其是传智播客旗下的线上IT培训机构,讲师很专业。很多人觉得it行业工资高一时兴起想拿高薪工作便跟风学习计算机编程,但是没经验没找到靠谱的it培训机构,于是没有真正学到东西,以至于无法顺利就业。
11006
2019-06-05 14:49:29
网络安全的主要影响因素有哪些?
随着物联网、大数据、5G等新技术新应用的普及推广,海量数据大集中的趋势日益明显、企业数据聚集规模也在快速膨胀,利用漏洞窃取用户数据、加密勒索等网络安全风险日益突出。因此不仅仅是用户对网络安全也越来越重视。这也成为互联网企业经营的核心内容之一。那对于企业而言,需要注意的网络安全主要影响因素有哪些呢?
10320
2019-06-06 15:54:00
电脑编程初学者注意哪些问题?
电脑编程初学者注意哪些问题?了解编程的过程中不断培养自己的大局观,寻找正确学编程路线,确认好编程的学习方向,每一种语言都有其优势。尽管编程以智力著称,但需要动手练习技能,光靠看书可不行的应该多练习。
3844
2019-11-22 14:44:42
程序员必须学习的编程语言工具及库
程序员必须学习的编程语言工具及库,小编整理了程序员经常用到的工具有Git and Github、SQL、Python、Excel或任何电子表格、Word文档或相似应用、PowerPoint、文本编辑、Linux命令、SVN、Powershell或Cygwin。
3769
2020-03-05 17:03:05
HTTPS原理全面解析,看这一篇就够了
谈到HTTPS,相信绝大多数人都不会感到陌生。HTTPS虽说早已不是什么新鲜协议了,但是近几年得到了许多互联网大型公司的推行,我们也可以看到HTTPS将成为未来的一大发展趋势。下面我们一起来全面解析HTTPS原理,内容包括HTTPS的定义、HTTPS的作用以及HTTPS的工作原理。
3883
2020-04-02 14:48:27