工业和信息化部主管 中国电子报社主办
收藏本站投稿

报告

报告显示:绝大多数应用程序包含具有已知安全漏洞的开源组件

《疫情中的安全隐患:移动应用程序安全现状》报告近日发布。该报告由新思科技网络研究中心(CyRC)制作,审查了对2021年第一季度在Google Play商店中最受欢迎的3,335个安卓移动应用程序进行的研究结果。报告显示绝大多数应用程序(63%)包含具有已知安全漏洞的开源组件,并且强调了普遍存在的安全隐患,包括暴露在应用程序代码中的敏感数据以及过度使用的移动设备权限。

该报告重点研究了18种受欢迎的移动应用程序类别,其中一些在疫情期间都呈爆炸式的增长,包括商业、教育和健康与健身。这些应用程序都是在Google Play商店下载量排行榜或者最畅销排行榜中。尽管安全分析结果因应用程序类别的不同而不同,但是在所有的18种类别中,至少三分之一的应用程序包含已知的安全漏洞。

新思科技软件质量与安全部门高级安全架构师杨国梁告诉记者,经过针对这3,000多个APP的分析之后,发现主要在三个领域存在一些潜在的安全风险:第一个就是开源组件的安全漏洞,这个是比较基础层面的,它会由于这些安全漏洞导致出现一些数据泄露,或者是被攻击的一些情况,还有跟我们个人可能更相关,或者个人感官更相关一点的,像刚才提到过的,我们会面临APP频繁的过度的索要你的权限,比如说跟地理定位完全不相关的,他会去索要你地理定位的信息,比如说跟你的拨打电话完全不相关的一些APP,他也会去查你的电话本等等,这也是一个潜在的安全问题。第二个就是敏感信息的泄露,在这些APP里面它可能不只是用户的敏感信息,而且还有这些生产这些APP厂家,它本身可能会把一些加密的密钥对等等,误留在了这些APP的包里面散布了出去,这些如果被黑客利用的话,那么就会直接构成对个人、对厂家的威胁。第三个就是权限过度索取。

具体而言,移动应用程序的开源漏洞非常普遍。在分析的3,335个应用程序中,63%包含具有至少一个已知漏洞的开源组件。具有漏洞的应用程序包含平均39个漏洞。CyRC总共发现了3,000多个独特漏洞,并且这些漏洞出现了82,000多次。

已知漏洞是可以解决的。尽管这项研究中发现的漏洞数量令人生畏,但更令人惊讶的是,检测到的漏洞中有94%具有公开记录的修复程序,这意味着安全补丁或更新以及更多的开源组件安全版本可供使用。除此之外,检测到的漏洞中有73%已经至少在两年前首次向公众披露,这表明应用程序的开发人员没有考虑构建应用程序所使用组件的安全性。

深入分析高风险漏洞。一项更彻底的分析表明,CyRC认为将近一半(43%)的漏洞属于高风险漏洞,因为这些漏洞已经被主动利用或者与已记录的概念验证(PoC)漏洞利用程序有关。仅有不到5%的漏洞与漏洞利用或者PoC漏洞利用程序有关,并且没有可用的修复程序。1%的漏洞被归类为远程代码执行(RCE)漏洞,许多人认为这是最严重的漏洞。0.64%的漏洞被归类为RCE漏洞并且与主动漏洞利用或PoC漏洞利用程序有关。

信息泄露。当开发人员无意间在应用程序的源代码或配置文件中公开敏感或个人数据时,这些信息很可能被恶意攻击者利用来发起后续的攻击。CyRC发现了数以万计的信息泄露实例,从私人密钥和令牌到邮件和IP地址的潜在敏感信息都被暴露出来。

过度使用移动设备权限。移动应用程序通常需要访问你的移动设备中的某些功能或数据才能有效运行。然而,某些应用程序草率地或者暗中要求的访问权限远远超出了必要性。CyRC分析的移动应用程序平均需要18个设备权限,其中包括平均4.5个敏感权限或者需要对个人数据进行多次访问的权限,以及平均3个被Google归类为“不提供给第三方应用程序使用”的权限。一个下载次数超过一百万的应用程序需要11个权限,这些权限被Google归类为“危险防护级”。另一个下载次数超过五百万的应用程序总共需要56个权限,其中31个被Google归类为“危险防护级”权限或是不允许第三方应用程序使用的签名权限。

比较应用程序类别。在18个类别中的6个类别里面,至少有80%的应用程序包含已知漏洞,包括游戏、银行、预算和支付应用程序。生活方式和健康与健身类别在易受攻击的应用程序中所占的比例最低,为36%。银行、支付和预算类别在移动设备所需的平均权限数量也排在前三,远高于18个类别的平均值。游戏、教辅类工具、教育和生活方式应用程序所要求的平均权限数量最低。

责任编辑:徐恒


声明

1、本站遵循行业规范,任何转载的稿件都会明确标注作者和来源;2、本站的原创文章,请转载时务必注明文章作者和来源,不尊重原创的行为我们将追究责任;3、作者投稿可能会经我们编辑修改或补充;4、如本站的文章或图片存在版权,请拨打电话010-88558835进行联系,我们将第一时间处理。

相关链接

视频

专题

2021年上半年中国家电市场报告

8月9日,中国电子信息产业发展研究院(又称赛迪研究院)发布了《2021年上半年中国家电市场报告》(以下简称《报告》)。《报告》显示,2021年上半年,我国家电市场加速回暖,零售额达4293亿元,同比增长16.3%;家电消费进一步向线上迁移,电商渠道对家电零售的贡献率达53.65%;家电产品均价普遍提升,高端家电销售热度不减,有效促进了消费升级...

新思想引领新征程·红色足迹

党的十八大以来,习近平总书记在地方考察调研时多次到访革命纪念地,强调要从中国革命历史、优良传统和精神中汲取养分。追寻红色足迹,感悟初心使命。即日起,本报推出“新思想引领新征程·红色足迹”专栏,跟随习近平总书记的红色足迹,访当事人、忆当年事,重温总书记的重要论述和重要指示精神,生动回顾红色圣地光荣的革命历史、优秀的革命传统...

聚焦2021年全国两会

3月5日,第十三届全国人民代表大会第四次会议在北京人民大会堂开幕。党和国家领导人习近平、李克强、汪洋、王沪宁、赵乐际、韩正、王岐山等出席,栗战书主持大会。初春的北京,处处生机盎然。第十三届全国人民代表大会第四次会议5日上午在人民大会堂开幕。近3000名全国人大代表肩负人民重托出席大会,认真履行宪法和法律赋予的神圣职责。

2021年全国工业和信息化工作会议

12月28-29日,全国工业和信息化工作会议在京召开。会议以习近平新时代中国特色社会主义思想为指导,全面贯彻党的十九大和十九届二中、三中、四中、五中全会精神,认真落实习近平总书记重要指示批示精神和中央经济工作会议部署,总结2020年工业和信息化工作,分析形势,部署2021年重点工作。工业和信息化部党组书记、部长肖亚庆作工作报告。

世界超高清视频(4K/8K)产业发展大会

会议

2021世界显示产业大会

6月17日,由工业和信息化部、安徽省人民政府共同主办的2021世界显示产业大会在合肥市开幕。安徽省委书记李锦斌出席开幕式并宣布大会开幕,安徽省省长王清宪、上海合作组织秘书长弗拉基米尔·诺罗夫、工业和信息化部副部长王志军出席开幕式并先后致辞。

2021世界超高清视频(4K/8K)产业发展大会

5月8日-10日,由工业和信息化部、国家广播电视总局、中央广播电视总台、广东省人民政府共同主办的2021世界超高清视频(4K/8K)产业发展大会在广州召开。5月9日,广东省委书记李希出席开幕式,工业和信息化部部长肖亚庆、广东省省长马兴瑞、国家广播电视总局副局长孟冬、中央广播电视总台编务会议成员姜文波出席开幕式并致辞。

CITE2021第九届中国电子信息博览会开幕论坛

4月9日,第九届中国电子信息博览会(简称CITE2021)在深圳举办。深圳市人民政府市长陈如桂、广东省人民政府副秘书长陈岸明、工业和信息化部电子信息司司长乔跃山出席开幕式并先后致辞。

2020世界显示产业大会

11月20日,由工业和信息化部、安徽省人民政府共同主办的2020世界显示产业大会在合肥市举行。在开幕式上,工业和信息化部部长肖亚庆、韩国驻华大使张夏成发表视频致辞。安徽省委副书记、省长李国英,工业和信息化部副部长王志军出席开幕式并致辞。

2020世界超高清视频(4K/8K)产业发展大会

11月2日,由工业和信息化部、国家广播电视总局、中央广播电视总台、广东省人民政府共同主办的2020世界超高清视频(4K/8K)产业发展大会在广州市召开。广东省委书记李希出席开幕式,省长马兴瑞出席并致辞。国家广播电视总局局长聂辰席、工业和信息化部副部长王志军、中央广播电视总台副台长蒋希伟出席开幕式并致辞。

2020世界VR产业大会云峰会

10月19日—20日,由工业和信息化部、江西省人民政府主办的2020世界VR产业大会云峰会在南昌举行。在10月19日的开幕式上,中共中央政治局委员、国务院副总理刘鹤发来书面致辞。江西省委常委、南昌市委书记吴晓军,工业和信息化部副部长王志军,江西省委书记、省人大常委会主任刘奇先后致辞。开幕式由江西省委副书记、省长易炼红主持。

世界显示产业大会

本周排行