新思科技：移動(dòng)應(yīng)用程序的開源漏洞非常普遍

現(xiàn)在，大多數(shù)人更依賴于移動(dòng)應(yīng)用程序，無論是在線購物還是遠(yuǎn)程辦公。這對確保開源生態(tài)系統(tǒng)的安全性提出了更大的挑戰(zhàn)。

新思科技近日宣布發(fā)布了《疫情中的安全隱患：移動(dòng)應(yīng)用程序安全現(xiàn)狀》報(bào)告。報(bào)告也指出，移動(dòng)應(yīng)用程序的開源漏洞非常普遍。該報(bào)告由新思科技網(wǎng)絡(luò)研究中心（CyRC）制作，審查了對2021年第一季度在Google Play商店中最受歡迎的3,335個(gè)安卓移動(dòng)應(yīng)用程序進(jìn)行的研究結(jié)果。報(bào)告顯示絕大多數(shù)應(yīng)用程序（63%）包含具有已知安全漏洞的開源組件，并且強(qiáng)調(diào)了普遍存在的安全隱患，包括暴露在應(yīng)用程序代碼中的敏感數(shù)據(jù)以及過度使用的移動(dòng)設(shè)備權(quán)限。

該研究采用了新思科技Black Duck Binary Analysis¹，重點(diǎn)研究了18種受歡迎的移動(dòng)應(yīng)用程序類別，其中一些在疫情期間都呈爆炸式的增長，包括商業(yè)、教育和健康與健身。這些應(yīng)用程序都是在Google Play商店下載量排行榜或者最暢銷排行榜中。盡管安全分析結(jié)果因應(yīng)用程序類別的不同而不同，但是在所有的18種類別中，至少三分之一的應(yīng)用程序包含已知的安全漏洞。

新思科技軟件質(zhì)量與安全部門總經(jīng)理Jason Schmitt表示：“就像其他的任何一個(gè)軟件一樣，移動(dòng)應(yīng)用程序也無法幸免于存在安全缺陷和漏洞，這可能使消費(fèi)者和企業(yè)面臨風(fēng)險(xiǎn)?，F(xiàn)今，疫情迫使我們大多數(shù)人（包括兒童、學(xué)生和大部分工作人員）適應(yīng)日益依賴于移動(dòng)的遠(yuǎn)程生活方式時(shí)，移動(dòng)應(yīng)用程序的安全性尤為重要。在這些變化的背景下，該報(bào)告強(qiáng)調(diào)了對移動(dòng)應(yīng)用生態(tài)系統(tǒng)的關(guān)鍵需求，以共同提高開發(fā)和維護(hù)安全軟件的標(biāo)準(zhǔn)。”

移動(dòng)應(yīng)用程序的開源漏洞非常普遍。在分析的3,335個(gè)應(yīng)用程序中，63%包含具有至少一個(gè)已知漏洞的開源組件。具有漏洞的應(yīng)用程序包含平均39個(gè)漏洞。CyRC總共發(fā)現(xiàn)了3,000多個(gè)獨(dú)特漏洞，并且這些漏洞出現(xiàn)了82,000多次。

已知漏洞是可以解決的。盡管這項(xiàng)研究中發(fā)現(xiàn)的漏洞數(shù)量令人生畏，但更令人驚訝的是，檢測到的漏洞中有94%具有公開記錄的修復(fù)程序，這意味著安全補(bǔ)丁或更新以及更多的開源組件安全版本可供使用。除此之外，檢測到的漏洞中有73%已經(jīng)至少在兩年前首次向公眾披露，這表明應(yīng)用程序的開發(fā)人員沒有考慮構(gòu)建應(yīng)用程序所使用組件的安全性。

深入分析高風(fēng)險(xiǎn)漏洞。一項(xiàng)更徹底的分析表明，CyRC認(rèn)為將近一半（43%）的漏洞屬于高風(fēng)險(xiǎn)漏洞，因?yàn)檫@些漏洞已經(jīng)被主動(dòng)利用或者與已記錄的概念驗(yàn)證（PoC）漏洞利用程序有關(guān)。僅有不到5%的漏洞與漏洞利用或者PoC漏洞利用程序有關(guān)，并且沒有可用的修復(fù)程序。1%的漏洞被歸類為遠(yuǎn)程代碼執(zhí)行（RCE）漏洞，許多人認(rèn)為這是最嚴(yán)重的漏洞。0.64%的漏洞被歸類為RCE漏洞并且與主動(dòng)漏洞利用或PoC漏洞利用程序有關(guān)。

信息泄露。當(dāng)開發(fā)人員無意間在應(yīng)用程序的源代碼或配置文件中公開敏感或個(gè)人數(shù)據(jù)時(shí)，這些信息很可能被惡意攻擊者利用來發(fā)起后續(xù)的攻擊。CyRC發(fā)現(xiàn)了數(shù)以萬計(jì)的信息泄露實(shí)例，從私人密鑰和令牌到郵件和IP地址的潛在敏感信息都被暴露出來。

過度使用移動(dòng)設(shè)備權(quán)限。移動(dòng)應(yīng)用程序通常需要訪問你的移動(dòng)設(shè)備中的某些功能或數(shù)據(jù)才能有效運(yùn)行。然而，某些應(yīng)用程序草率地或者暗中要求的訪問權(quán)限遠(yuǎn)遠(yuǎn)超出了必要性。CyRC分析的移動(dòng)應(yīng)用程序平均需要18個(gè)設(shè)備權(quán)限，其中包括平均4.5個(gè)敏感權(quán)限或者需要對個(gè)人數(shù)據(jù)進(jìn)行多次訪問的權(quán)限，以及平均3個(gè)被Google歸類為“不提供給第三方應(yīng)用程序使用”的權(quán)限。一個(gè)下載次數(shù)超過一百萬的應(yīng)用程序需要11個(gè)權(quán)限，這些權(quán)限被Google歸類為“危險(xiǎn)防護(hù)級”。另一個(gè)下載次數(shù)超過五百萬的應(yīng)用程序總共需要56個(gè)權(quán)限，其中31個(gè)被Google歸類為“危險(xiǎn)防護(hù)級”權(quán)限或是不允許第三方應(yīng)用程序使用的簽名權(quán)限。

比較應(yīng)用程序類別。在18個(gè)類別中的6個(gè)類別里面，至少有80%的應(yīng)用程序包含已知漏洞，包括游戲、銀行、預(yù)算和支付應(yīng)用程序。生活方式和健康與健身類別在易受攻擊的應(yīng)用程序中所占的比例最低，為36%。銀行、支付和預(yù)算類別在移動(dòng)設(shè)備所需的平均權(quán)限數(shù)量也排在前三，遠(yuǎn)高于18個(gè)類別的平均值。游戲、教輔類工具、教育和生活方式應(yīng)用程序所要求的平均權(quán)限數(shù)量最低。

1. Black Duck Binary Analysis 是Black Duck 軟件組成分析解決方案的獨(dú)特功能，可用來監(jiān)測軟件中的安全漏洞、信息泄露和移動(dòng)設(shè)備權(quán)限。與大多數(shù)其他的軟件分析工具不同，它分析編譯的二進(jìn)制文件而不是源代碼，這意味著它幾乎可以掃描任何軟件，從臺式電腦和移動(dòng)應(yīng)用程序到嵌入式系統(tǒng)固件。