新思科技:移動(dòng)應用程序的開(kāi)源漏洞非常普遍
現在,大多數人更依賴(lài)于移動(dòng)應用程序,無(wú)論是在線(xiàn)購物還是遠程辦公。這對確保開(kāi)源生態(tài)系統的安全性提出了更大的挑戰。
本文引用地址:http://dyxdggzs.com/article/202104/424543.htm新思科技近日宣布發(fā)布了《疫情中的安全隱患:移動(dòng)應用程序安全現狀》報告。報告也指出,移動(dòng)應用程序的開(kāi)源漏洞非常普遍。該報告由新思科技網(wǎng)絡(luò )研究中心(CyRC)制作,審查了對2021年第一季度在Google Play商店中最受歡迎的3,335個(gè)安卓移動(dòng)應用程序進(jìn)行的研究結果。報告顯示絕大多數應用程序(63%)包含具有已知安全漏洞的開(kāi)源組件,并且強調了普遍存在的安全隱患,包括暴露在應用程序代碼中的敏感數據以及過(guò)度使用的移動(dòng)設備權限。
該研究采用了新思科技Black Duck Binary Analysis1,重點(diǎn)研究了18種受歡迎的移動(dòng)應用程序類(lèi)別,其中一些在疫情期間都呈爆炸式的增長(cháng),包括商業(yè)、教育和健康與健身。這些應用程序都是在Google Play商店下載量排行榜或者最暢銷(xiāo)排行榜中。盡管安全分析結果因應用程序類(lèi)別的不同而不同,但是在所有的18種類(lèi)別中,至少三分之一的應用程序包含已知的安全漏洞。
新思科技軟件質(zhì)量與安全部門(mén)總經(jīng)理Jason Schmitt表示:“就像其他的任何一個(gè)軟件一樣,移動(dòng)應用程序也無(wú)法幸免于存在安全缺陷和漏洞,這可能使消費者和企業(yè)面臨風(fēng)險?,F今,疫情迫使我們大多數人(包括兒童、學(xué)生和大部分工作人員)適應日益依賴(lài)于移動(dòng)的遠程生活方式時(shí),移動(dòng)應用程序的安全性尤為重要。在這些變化的背景下,該報告強調了對移動(dòng)應用生態(tài)系統的關(guān)鍵需求,以共同提高開(kāi)發(fā)和維護安全軟件的標準?!?/p>
移動(dòng)應用程序的開(kāi)源漏洞非常普遍。在分析的3,335個(gè)應用程序中,63%包含具有至少一個(gè)已知漏洞的開(kāi)源組件。具有漏洞的應用程序包含平均39個(gè)漏洞。CyRC總共發(fā)現了3,000多個(gè)獨特漏洞,并且這些漏洞出現了82,000多次。
已知漏洞是可以解決的。盡管這項研究中發(fā)現的漏洞數量令人生畏,但更令人驚訝的是,檢測到的漏洞中有94%具有公開(kāi)記錄的修復程序,這意味著(zhù)安全補丁或更新以及更多的開(kāi)源組件安全版本可供使用。除此之外,檢測到的漏洞中有73%已經(jīng)至少在兩年前首次向公眾披露,這表明應用程序的開(kāi)發(fā)人員沒(méi)有考慮構建應用程序所使用組件的安全性。
深入分析高風(fēng)險漏洞。一項更徹底的分析表明,CyRC認為將近一半(43%)的漏洞屬于高風(fēng)險漏洞,因為這些漏洞已經(jīng)被主動(dòng)利用或者與已記錄的概念驗證(PoC)漏洞利用程序有關(guān)。僅有不到5%的漏洞與漏洞利用或者PoC漏洞利用程序有關(guān),并且沒(méi)有可用的修復程序。1%的漏洞被歸類(lèi)為遠程代碼執行(RCE)漏洞,許多人認為這是最嚴重的漏洞。0.64%的漏洞被歸類(lèi)為RCE漏洞并且與主動(dòng)漏洞利用或PoC漏洞利用程序有關(guān)。
信息泄露。當開(kāi)發(fā)人員無(wú)意間在應用程序的源代碼或配置文件中公開(kāi)敏感或個(gè)人數據時(shí),這些信息很可能被惡意攻擊者利用來(lái)發(fā)起后續的攻擊。CyRC發(fā)現了數以萬(wàn)計的信息泄露實(shí)例,從私人密鑰和令牌到郵件和IP地址的潛在敏感信息都被暴露出來(lái)。
過(guò)度使用移動(dòng)設備權限。移動(dòng)應用程序通常需要訪(fǎng)問(wèn)你的移動(dòng)設備中的某些功能或數據才能有效運行。然而,某些應用程序草率地或者暗中要求的訪(fǎng)問(wèn)權限遠遠超出了必要性。CyRC分析的移動(dòng)應用程序平均需要18個(gè)設備權限,其中包括平均4.5個(gè)敏感權限或者需要對個(gè)人數據進(jìn)行多次訪(fǎng)問(wèn)的權限,以及平均3個(gè)被Google歸類(lèi)為“不提供給第三方應用程序使用”的權限。一個(gè)下載次數超過(guò)一百萬(wàn)的應用程序需要11個(gè)權限,這些權限被Google歸類(lèi)為“危險防護級”。另一個(gè)下載次數超過(guò)五百萬(wàn)的應用程序總共需要56個(gè)權限,其中31個(gè)被Google歸類(lèi)為“危險防護級”權限或是不允許第三方應用程序使用的簽名權限。
比較應用程序類(lèi)別。在18個(gè)類(lèi)別中的6個(gè)類(lèi)別里面,至少有80%的應用程序包含已知漏洞,包括游戲、銀行、預算和支付應用程序。生活方式和健康與健身類(lèi)別在易受攻擊的應用程序中所占的比例最低,為36%。銀行、支付和預算類(lèi)別在移動(dòng)設備所需的平均權限數量也排在前三,遠高于18個(gè)類(lèi)別的平均值。游戲、教輔類(lèi)工具、教育和生活方式應用程序所要求的平均權限數量最低。
1. Black Duck Binary Analysis 是Black Duck 軟件組成分析解決方案的獨特功能,可用來(lái)監測軟件中的安全漏洞、信息泄露和移動(dòng)設備權限。與大多數其他的軟件分析工具不同,它分析編譯的二進(jìn)制文件而不是源代碼,這意味著(zhù)它幾乎可以?huà)呙枞魏诬浖?,從臺式電腦和移動(dòng)應用程序到嵌入式系統固件。
評論