劣质软件养活了某xx网络安全公司,说的就是你

摘要

尽管已经有无数的框架、最佳实践和技术博客，但仍然有大量开发者在代码中硬编码凭证信息。

主要发现

• 2023年10月至2024年9月期间共发布了37,439个CVE
• 这些CVE被分配了35,346个CWE（共520个不同类型的CWE）
• CWE-79（网页生成过程中输入未正确处理导致的"跨站脚本攻击"）是报告最多的安全弱点（在6,006个CVE中出现，占所有CWE的17%）
• 一些基础性的安全弱点也位居前列，如CWE-532：敏感信息写入日志文件（247个CVE，占比0.7%）、CWE-798：使用硬编码凭证（213个CVE，占比0.6%）、以及CWE-306：关键功能缺失身份认证（208个CVE，占比0.6%）

概述

网络安全行业的供应商常常开玩笑说，正是不安全的软件让这个行业得以蓬勃发展。

这种说法确实有一定道理。我们不能期待所有软件都完美无缺，因此需要行业内的各种检查机制（包括负责任的漏洞披露）。

在之前的一篇文章中，我分析了过去25年间CVE的一些有趣数据。这次，我想重点关注过去一年（2023年10月至2024年9月）发布的漏洞中常见的安全弱点类别。

跟进分析

如果你想跟着文章复现这些数据分析，可以按照之前文章中的说明导入数据。

完成后，你还需要运行一条stix2arango命令：

python3 utilities/arango_cti_processor/insert_archive_cwe.py 
  --versions 4_15 
  --database cti_knowledge_base_store

数据分析

数据概览

RETURN LENGTH(
  FOR doc IN nvd_cve_vertex_collection
    FILTER doc.type == "vulnerability"
    FILTER DATE_TIMESTAMP(doc.created) >= DATE_TIMESTAMP("2023-10-01T00:00:00Z")
    FILTER DATE_TIMESTAMP(doc.created) <= DATE_TIMESTAMP("2024-09-30T00:00:00Z")
    RETURN doc
)

在这段时间内，总共发布了37,439个CVE。

RETURN (
  FOR doc IN nvd_cve_vertex_collection
    FILTER doc.type == "vulnerability"
    FILTER DATE_TIMESTAMP(doc.created) >= DATE_TIMESTAMP("2023-10-01T00:00:00Z")
    FILTER DATE_TIMESTAMP(doc.created) <= DATE_TIMESTAMP("2024-09-30T00:00:00Z")
    COLLECT monthYear = CONCAT(DATE_YEAR(doc.created), "-", 
                               (DATE_MONTH(doc.created) < 10 ? "0" : ""), 
                               DATE_MONTH(doc.created)) WITH COUNT INTO count
    SORT monthYear
    RETURN {
      monthYear: monthYear,
      count: count
    }
)

最常见的安全弱点

在查看以下数据时需要注意，并非所有CVE都被分配了CWE。这可能是因为NVD尚未完成分析（这是NVD积压工作的常见问题）。此外，一些CVE被标记为NVD-CWE-noinfo，这表示NVD在分析CVE时没有足够信息来分配CWE。

这些CVE总共被分配了35,346个CWE。

以下是排名前40的安全弱点：

通过CWE编号查询包含使用硬编码凭证（CWE-798）这个安全弱点的产品统计如下：

这些数字显示了引用CWE-798并将相应产品标记为易受攻击的不同CVE数量。从统计结果可以看出，无论是大型供应商（如思科和IBM）还是小型供应商都存在这类问题，而且在固件产品中更为普遍（这类产品中的凭证泄露问题通常更难以修复）。