开源软件源代码安全缺陷分析报告（第二期）

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

以下是报告全文：

随着软件技术飞速发展，开源软件已在全球范围内得到了广泛应用。数据显示，从2012年起，已有超过80%的商业软件使用开源软件。开源软件的代码一旦存在安全问题，必将造成广泛、严重的影响。为了解开源软件的安全情况，CNCERT持续对广泛使用的知名开源软件进行源代码安全缺陷分析，并发布季度安全缺陷分析报告。

表1被测开源软件项目概览

本次测试涵盖各类常见安全缺陷。根据缺陷形成的原因、被利用的可能性、造成的危害程度和解决的难度等因素进行综合考虑，可以将常见的安全缺陷分为八类：

1、输入验证与表示（InputValidationandRepresentation）

输入验证与表示问题通常是由特殊字符、编码和数字表示所引起的，这类问题的发生是由于对输入的信任所造成的。这些问题包括：缓冲区溢出、跨站脚本、SQL注入、命令注入等。

2、API误用（APIAbuse)

API是调用者与被调用者之间的一个约定，大多数的API误用是由于调用者没有理解约定的目的所造成的。当使用API不当时，也会引发安全问题。

3、安全特性（SecurityFeatures）

该类别主要包含认证、访问控制、机密性、密码使用和特权管理等方面的缺陷。

5、错误和异常处理缺陷（Errors）

这类缺陷与错误和异常处理有关，最常见的一种缺陷是没有恰当的处理错误（或者没有处理错误）从而导致程序运行意外终止，另一种缺陷是产生的错误给潜在的攻击者提供了过多信息。

6、代码质量问题（CodeQuality）

低劣的代码质量会导致不可预测的行为。对于攻击者而言，低劣的代码使他们可以以意想不到的方式威胁系统。常见的该类别缺陷包括死代码、空指针解引用、资源泄漏等。

7、封装和隐藏缺陷（Encapsulation）

合理的封装意味着区分校验过和未经检验的数据，区分不同用户的数据，或区分用户能看到和不能看到的数据等。常见的缺陷包括隐藏域、信息泄漏、跨站请求伪造等。

8、代码运行环境的缺陷（Environment）

该类缺陷是源代码之外的问题，例如运行环境配置问题、敏感信息管理问题等，它们对产品的安全仍然是至关重要的。

图1缺陷级别与严重程度、置信程度的关系

本报告仅针对检出的高危、中危缺陷进行统计和分析。本部分首先展示从被测项目中检出安全缺陷的数量，并由此对国内互联网公司的产品安全性进行比较；然后进一步讨论各公司被测项目中安全缺陷的分布情况，了解各公司出现较多的缺陷类型；最后结合上一期报告中国外互联网公司产品安全性评估数据，对国内外互联网公司的产品安全情况展开对比。

本部分展示被测项目查出缺陷的数量，由此对被测项目的安全性进行大致的评估。图2展示了各个项目高危、中危缺陷的数量，并按照高危缺陷数量对项目进行了排序，图中用蓝色折线图展示了每千行包含缺陷数。

在本次被测软件中，华为的软件OpenApi_Windows_Java（通过调用接口对存储资源进行管理）不存在高危缺陷，同时中危缺陷数量也较少，软件安全质量相对较好。小米的软件LuckyMoneyTool（抢红包）虽然也不存在高危缺陷，中危缺陷数量也少，但是由于软件代码行数过少，不具备一定的统计意义。

图2开源软件项目缺陷情况

中高危缺陷总数最多的是来自大众点评的数据访问中间件zebra，总计203个高中危缺陷中包含142个数据库资源未释放，主要是程序创建数据库对象资源后未进行合理释放，导致攻击者可通过数据库连接池耗尽的方式发起拒绝服务攻击。

本部分对不同互联网公司的产品安全性概况进行对比，图3展示了每个公司在本次测试中检测出的高危、中危缺陷总数，以及以公司为单位统计的每千行缺陷数。

图3互联网公司产品安全性对比图

本部分展示各公司高危缺陷的分布情况，了解各公司出现较多的高危缺陷类型。图4展示了各公司的高危缺陷类型和分布情况，为了方便展示，统一将每个公司项目中出现5次以下的高危缺陷类型归入“其他”。可以看到，各公司的高危缺陷分布情况不尽相同。相对出现较为普遍的缺陷类型为“资源未释放”、“空指针解引用”、“不安全的随机性”。

图4各公司高危缺陷分布情况（点击查看大图）

本部分继续展示各公司中危缺陷的分布情况，了解各公司出现较多的中危缺陷类型。如图5所示，各公司的中危缺陷分布情况不尽相同。为了方便展示，统一将每个公司项目中出现5次以下的中危缺陷类型归入“其他”。

图5各公司中危缺陷分布情况（点击查看大图）

图6国内外互联网公司产品安全缺陷密度对比（点击查看大图）

一、本报告仅从代码角度进行缺陷分析。本报告中统计的缺陷是指由于代码编写不规范导致的有可能被攻击者利用的安全隐患。在实际系统中，由于软件实际部署环境、

安全设备等的限制，部分缺陷可能无法通过渗透测试得到验证。

二、本报告中的缺陷仅适用于表1中列出的特定软件版本。当软件版本有任何更新、修改和优化时，本报告不再适用。