2021年零日漏洞在野利用状况:数量创纪录,传统漏洞为主

admin 2022年4月21日00:40:32评论64 views字数 1607阅读5分21秒阅读模式

关注我们

带你读懂网络安全

2021年零日漏洞在野利用状况:数量创纪录,传统漏洞为主


谷歌Project Zero披露,2021年共追踪到58起“在野”发生的零日漏洞利用案例;


从技术角度来看,其中仅有2个“非常新颖”的漏洞,其余56个基本属于“以往已公开漏洞的翻版”;


Project Zero希望,2022年能有更多厂商通过安全公告披露漏洞的在野利用情况,广泛共享漏洞利用示例或详细技术描述,专注减少甚至消除内存破坏漏洞。


谷歌Project Zero研究人员表示,2021年共追踪到58起“在野”发生的零日漏洞利用案例
这是该小组自2014年成立以来,发现并披露零日漏洞利用案例最多的一年。
在此之前,追踪案例量最多的2015年共发现28起,尚不足2021年的一半。Project Zero安全研究员Maddie Stone在昨天(4月19日)发布的报告中表示,“相较于2020年的25起,去年攀升速度确实相当显著。”
2021年零日漏洞在野利用状况:数量创纪录,传统漏洞为主
新的软件漏洞一直在持续被发现、披露及修复,而且大多能够抢在黑客团伙实际利用之前。而Project Zero主要关注由黑客团伙首先发现并利用的漏洞,也就是软件厂商需要尽快修复的“零日漏洞”。
Stone对2021年零日漏洞案例发现总量上升给出了解释。从好的一面来说,数字增长能是由于对零日漏洞的检测和披露增加,而不是对它们的使用增加。
坏的一面来看,“恶意黑客采取的手段跟前几年其实没有太大变化”“他们仍能依靠相同的漏洞模式与利用技术,在同样的攻击面上顺利得手。”


致力提高零日漏洞


利用门槛


Project Zero已经将这些零日漏洞信息公布在一份公开电子表格中。项目小组在发布前已经向各软件厂商提交了漏洞信息,保证他们能够有时间发布修复补丁或安全更新。他们的使命是“提高零日漏洞的利用门槛。”Stone表示,“总的来说,只要让恶意黑客无法通过公开的方法或手段利用零日漏洞,就算实现了拔高门槛的目标。
2021年零日漏洞在野利用状况:数量创纪录,传统漏洞为主
Project Zero整理出的这份表格,仅包含那些被软件厂商或独立研究员成功检出并披露的漏洞。Stone说,“我们永远无法确切了解,这些已被公开发现并披露的漏洞,在全部零日漏洞中到底占多大比例。”
对零日漏洞的利用往往会带来严重的破坏性后果,多年来一直是网络安全领域一股令人不安的恐惧之源。比如2021年9月,公民实验室曾发布调查报告,披露以色列监控厂商NSO Group采购零日漏洞内置在间谍软件产品中,这款产品广受各国政府青睐,还被用于监控记者及社会活动家。
Project Zero研究人员在2021年12月披露,NSO Group的这款间谍软件(公民实验室命名为FORCEDENTRY)是他们见到过的“技术复杂度最高的攻击之一”,其水平之高超,完全能与“少数几个民族国家支持的黑客攻击”相媲美。
Stone还表示,从技术角度来看,Project Zero在2021年发现并披露的58个零日漏洞中,FORCEDENTRY属于仅有的2个“非常新颖”的案例其余56个基本属于“以往已公开漏洞的翻版”
Stone认为,这种趋势“对科技行业来说是个好消息”,意味着软件厂商发现的大部分新漏洞,跟之前记录在案的漏洞区别不大,相对容易解决
越来越多软件厂商开始主动检出并公布自家产品中的零日漏洞。过去一年内,谷歌发现了7个零日漏洞,微软则发现了10个。
Project Zero团队希望,2022年能有更多厂商通过安全公告披露漏洞的在野利用情况,并广泛共享漏洞利用示例或详细技术描述。
从技术角度出发,Project Zero团队希望更多研究人员和安全专家,能专注减少甚至消除内存破坏漏洞。一旦出现此类漏洞,软件往往会在使用计算机内存时,无意间引发异常行为或导致崩溃。


参考来源:cyberscoop.com




推荐阅读





点击下方卡片关注我们,
带你一起读懂网络安全 ↓


原文始发于微信公众号(安全内参):2021年零日漏洞在野利用状况:数量创纪录,传统漏洞为主

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年4月21日00:40:32
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   2021年零日漏洞在野利用状况:数量创纪录,传统漏洞为主http://cn-sec.com/archives/929454.html

发表评论

匿名网友 填写信息