资讯频道 → 开源软件
阅读更多

10顶
0踩

开源软件

原创新闻 警惕开源代码库中的安全隐患

2012-03-27 14:50 by 副主编 wangguo 评论(11) 有6559人浏览
框架 开源 安全 漏洞

声明：ITeye资讯文章的版权属于ITeye网站所有，严禁任何网站转载本文，否则必将追究法律责任！

最近的一项研究发现，在调查的31个流行库（框架）的1261个版本中，超过三分之一存在已知的安全漏洞，大约四分之一的下载文件已经被污染。


该项研究由Aspect Security和Sonatype发起。Aspect Security是一家评估软件安全漏洞的公司，Sonatype主要提供中央资源库（Central Repository），托管了超过30万个库和开源组件，每年有超过40亿次请求。

Aspect公司的研究人员分析了在过去12个月内，从Central Repository中下载的31个流行的Java框架和安全库，并发现：

  • 所有的下载中，有1980万次下载的版本存在已知漏洞，占26%。
  • 下载次数最多的、存在已知漏洞的库是Google Web Toolkit（GWT）、Apache Xerces、Spring MVC和Struts 1.x。
研究发现，在开源代码库中发现的漏洞类型非常广泛，一些漏洞允许攻击者完全接管主机，一些可能会导致数据丢失或损坏，还有一些可能会向攻击者提供有用的信息。

研究人员称，安全性库比框架更有可能存在已知漏洞，现在的应用程序通常使用30个或更多的库，这可能危及到应用程序中80%的代码。在大多数情况下，漏洞的影响在很大程度上取决于应用程序如何使用这些库。

研究人员列出了一些广为流传的已知漏洞：

  • 在过去一年中，Spring被超过4.3万个组织下载了1800万次，但是去年的一个发现显示，Spring表达式语言中有一个新型的漏洞，攻击者可以通过HTTP参数提交来利用该漏洞，并获得敏感的系统数据、应用程序和用户cookies。
  • 2010年，谷歌的研究团队发现了Struts2中一个漏洞，该漏洞允许攻击者在所有基于Struts2的应用程序中执行任意代码。
  • Apache CXF（Web服务框架）在过去一年内被超过1.6万个组织下载了420万次，从2010年该框架中就存在两个大的漏洞（CVE-2010-2076和CVE 2012-0803），允许攻击者欺骗任何使用CXF的服务，下载任意的系统文件，并绕过验证。
研究人员称，目前开发者还没有好的方法来得知他们正使用的库中存在的已知漏洞，他们必须随时检查几十个邮件列表、博客、论坛，此外，开发团队也不太可能去寻找这些开源库中的漏洞，因为这需要大量的安全方面的经验，在分析这些库时自动化工具基本上用处不大。

Aspect公司CEO称，使用开源库也存在“依赖管理”的问题，开发者需要确定他们的项目中真正直接依赖的库。通常情况下，开发者会在一些非必需的功能中使用库，而这些库还可能依赖于其他库，显然这带来了大量过时的代码，增加了安全风险，同时增大了应用程序的规模。

要想避免或降低这些风险，就需要找出在项目中使用的库，确定哪些已经过时。Aspect公司建议尽量少使用库。

Via InfoWorld
  • 大小: 25.4 KB
10
顶
0
踩
评论 共 11 条 请登录后发表评论
11 楼 grandboy 2012-04-12 09:07
因噎废食确实没有必要，杞人忧天有时还有点必要，但也不需要考虑过多，未知的"天"就没有必要"忧"了。
10 楼 fancyleeo 2012-03-30 11:53
典型的因噎废食，杞人忧天。
9 楼 simen_net 2012-03-28 22:25
坑爹的GWT居然排第一，有几个人在用？不知到这个排名怎样计算出来的。
8 楼 yjandx3543 2012-03-28 21:20
司徒正美 写道
不开源的东西隐患更多。。。。

++1
7 楼 wiki_more 2012-03-28 16:26
司徒正美 写道
不开源的东西隐患更多。。。。

+1
6 楼 grandboy 2012-03-28 16:08
哪里都有安全隐患，都应该警惕
5 楼 quansia 2012-03-28 10:59
开源的东西就是要经常维护代码啊 要不就用收费的 人家帮你维护 比如。net 这是正常现象
4 楼 司徒正美 2012-03-28 09:57
不开源的东西隐患更多。。。。
3 楼 fjjiaboming 2012-03-28 09:04
幸好,没有用到所谓提高"开发"效率的表达式语言,如OGNL...
2 楼 fjjiaboming 2012-03-28 09:02
让我担心起来了...
1 楼 mengyancui 2012-03-27 19:25
坑爹咧，都是常用框架！   

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

Global site tag (gtag.js) - Google Analytics