2021中国软件供应链安全分析报告.pdf

2021 中国软件供应链安全分析报告奇安信代码安全实验室 2021 年 6 月目录一、前言 . 1 二、国内企业自主开发源代码安全状况 . 3 1、编程语言分布情况 . 3 2、典型安全缺陷检出情况 . 4 三、开源软件生态发展与安全状况 . 5 1、开源软件生态发展状况分析 . 5 2、开源软件源代码安全状况分析 . 7 （ 1）编程语言分布情况 . 7 （ 2）典型安全缺陷检出情况 . 8 3、开源软件公开报告漏洞状况分析 . 9 （ 1）大型开源项目漏洞总数及年度增长 TOP20 . 9 （ 2）主流开源软件包生态系统漏洞总数及年度增长 TOP20 . 11 4、开源软件活跃度状况分析 . 13 （ 1） 61.6%的开源软件项目处于不活跃状态 . 13 （ 2） 13000 多个开源软件一年内更新发布超过 100 个版本 . 14 四、国内企业软件开发中开源软件应用状况 . 15 1、开源软件总体使用情况分析 . 15 （ 1）国内企业软件项目 100%使用开源软件 . 15 （ 2）流行开源软件被近 1/4 的软件项目使用 . 16 2、开源软件漏洞风险分析 . 17 （ 1）近 9 成软件项目存在已知开源软件漏洞 . 17 （ 2）平均每个软件项目存在 66 个已知开源软件漏洞 . 17 （ 3）影响最广的开源软件漏洞存在于 44.3%的软件项目中 . 17 （ 4） 15 年前的开源软件漏洞仍然存在于多个软件项目中 . 18 3、开源软件运维风险分析 . 18 （ 1） 18 年前的老旧开源软件版本仍在被使用 . 18 （ 2）开源软件各版本使用非常混乱 . 19 五、典型软件供应链安全风险实例分析 . 20 1、国内某主流 OA 系统供应链安全分析 . 20 2、国内某流行 Windows 桌面软件供应链安全分析 . 21 3、某国产网络设备固件供应链安全分析 . 22 4、 Google Chrome 浏览器供应链攻击实例分析 . 23 5、 VMware Workstation 供应链攻击实例分析 . 24 六、总结及建议 . 26 附录：奇安信代码安全实验室简介 . 29 1 一、前言数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。 2020 年 4 月， Rubygems 开源软件包生态系统被放入了数百个恶意软件包，这些恶意软件包的下载总量近 10 万次。例如， “ atlas- client” 是一个诱骗的诱饵程序包，用来仿冒 “ atlas_client” ，被下载了超过 2100 次。 2020年 5 月， GitHub 披露了针对 Apache NetBeans IDE 项目的开源软件供应链攻击 Octopus Scanner，最终统计显示，有 26 个开源项目被植入了 Octopus Scanner 后门。 2020年 12 月，全球著名的网络安全管理软件供应商 SolarWinds 遭遇国家级 APT团伙高度复杂的供应链攻击。该攻击直接导致包括美国关键基础设施、军队、政府等在内的超过 18000 家客户全部受到影响，可任由攻击者完全操控。 2021 年 2 月，安全研究人员通过利用开源生态安全机制上的漏洞，成功侵入了微软、苹果、 PayPal、特斯拉、优步等 35 家国际大 2 型科技公司的内网，这种新颖的软件供应链攻击方式被定义为依赖混淆攻击。 2021年 3 月， PHP的 Git 服务器被攻击，攻击者向服务器上的 php-src 存储库推送了两次恶意提交，在 PHP 代码中植入了一个后门，其目标是可以通过该后门获得运行 PHP 的网站系统的远程代码执行权限。 2021 年 4 月，知名代码测试公司 Codecov 宣布其产品的 bash uploader 脚本被攻击者修改，导致用户在使用 Codecov 产品时，会向攻击者的服务器发送敏感信息，从而导致攻击者可以获取用户的软件源代码等机密信息。攻击不断左移，针对软件供应链的攻击事件频发，系统性的研究软件供应链安全，防范软件供应链安全风险，已经迫在眉睫。 2020年，奇安信代码安全实验室依托自身在软件安全领域十余年的技术积累，针对国内软件供应链的安全状况进行了大量的研究、实践和数据分析工作，形成本报告。报告内容主要包括国内企业自主开发源代码安全状况分析、开源软件生态发展与安全状况分析、国内企业软件开发中开源软件应用状况分析、典型应用系统供应链安全风险实例分析、总结及建议等五个方面，希望可以为相关单位开展软件供应链安全相关的研究和实践工作提供借鉴和参考。 3 二、国内企业自主开发源代码安全状况源代码是软件的原始形态，位于软件供应链的源头。源代码安全是软件供应链安全的基础，其地位非常关键和重要。 2020 年全年，奇安信代码安全实验室对 2001 个国内企业自主开发的软件项目源代码进行了安全缺陷检测，检测的代码总量为 335011173行，共发现安全缺陷 3387642 个，其中高危缺陷 361812 个，整体缺陷密度为 10.11 个 /千行，高危缺陷密度为 1.08个 /千行。 1、编程语言分布情况在被检测的 2001 个国内企业自主开发的软件项目中，使用数量排名前 3的编程语言为 Java、 PHP、 C/C+，对应的软件项目数量分别为 1492 个、 204个和 97个。可以看出，相关国内企业在进行软件开发时的首选语言是 Java 语言，占比高达 75%。编程语言的总体分布情况如下图所示。 1492, 75% 204, 10% 97, 5% 61, 3% 50, 3% 44, 2% 41, 2% 6, 0% 5, 0% 1, 0% 编程语言总体分布情况 Java PHP C/C+ Python Javascript Go C# Swift OC Cobol 4 2、典型安全缺陷检出情况输入验证、路径遍历、跨站脚本、注入、 NULL引用、资源管理、密码管理、 API 误用、配置管理、日志伪造等十类安全缺陷是程序员在编写软件代码时经常会出现的典型安全缺陷。典型安全缺陷的检出率可以体现出软件源代码的基本安全状况（检出率指含有某类缺陷的软件项目数占软件项目总数的比例）。在被检测的 2001 个软件项目中，十类典型安全缺陷的总体检出率为 77.8%，每类典型缺陷的检出率及排名如下表所示。排名缺陷类型检出率 1 输入验证 50.8% 2 路径遍历 39.6% 3 跨站脚本 39.5% 4 注入 37.3% 5 NULL引用 31.8% 6 资源管理 31.6% 7 密码管理 31.0% 8 API误用 28.7% 9 配置管理 28.0% 10 日志伪造 18.2% 5 三、开源软件生态发展与安全状况 Gartner表示，现代软件大多数是被“组装”出来的，不是被“开发”出来的。据 Forrester 统计，软件开发中， 80-90%的代码来自于开源软件。因此，现代软件的源代码绝大多数是混源代码，由企业自主开发的源代码和开源软件代码共同组成。开源软件是现代软件开发最基础的原材料，与企业自主开发的源代码所处的软件供应链环节相同，也位于软件供应链的源头，其代码自身的安全状况，会直接影响最终软件的安全性。本报告从开源软件生态发展状况、开源软件源代码安全状况、开源软件公开报告漏洞状况、开源软件活跃度状况等四个方面对 2020 年开源软件生态发展与安全状况进行综合分析。 1、开源软件生态发展状况分析据奇安信代码安全实验室监测和统计， 2019 年底和 2020 年底，主流开源软件包生态系统中开源项目总量分别为 2841314 个和 3814194个，一年间增长了 34.2%；截至 2020 年底，主流开源软件包生态系统中平均每个开源项目有 10.2个版本。可以看出， 2020 年开源软件生态更加繁荣，整体发展非常迅猛。本报告中对八个典型的开源软件包生态系统进行了进一步的分析和比较，这八个包生态系统为 Maven、 NPM、 Packagist、 Pypi、 Godoc、 Nuget、 Rubygems、 Swift，具体分析如下。 6 NPM 包生态项目数量最多， Godoc 包生态增速最快。八个典型的开源软件包生态系统中开源项目数量和增长率情况如下图所示，其中开源项目数量最多的是 NPM 包生态系统，截至 2020 年底，其开源项目数量达到了 1559835 个；开源项目数量增速最快的是 Godoc 包生态系统， 2020年一年间的项目总量增速达到了 36.2%。 Maven、 Nuget、 NPM包生态系统的开源项目开发者比较“勤奋”，开源项目的平均版本数超过 11 个。截至 2020 年底，八个典型的开源软件包生态系统的开源项目数量和版本数量如下表所示。其中， Maven 包生态系统平均每个开源项目有 18.0 个版本， Nuget 包生态系统平均每个开源项目有 11.7 个版本， NPM 包生态系统平均每个开源项目有 11.0 个版本。序号包生态系统 2020 年项目数 2020 年版本数平均版本数 1 Maven 487799 8785416 18.0 2 NPM 1559835 17148119 11.0 3 Packagist 309125 3035815 9.8 Maven NPM Packagist Pypi Godoc Nuget Rubygems Swift 2019年数量 385042 1174332 254710 212717 172215 233871 155092 66814 2020年数量 487799 1559835 309125 287113 234579 307336 163392 77015 增长率 26.7% 32.8% 21.4% 35.0% 36.2% 31.4% 5.4% 15.3% 0 200000 400000 600000 800000 1000000 1200000 1400000 1600000 1800000 典型开源软件包生态系统中项目数量变化情况 2019年数量 2020年数量增长率 7 4 Pypi 287113 2419533 8.4 5 Godoc 234579 1109833 4.7 6 Nuget 307336 3588880 11.7 7 Rubygems 163392 1094135 6.7 8 Swift 77015 474314 6.2 2、开源软件源代码安全状况分析奇安信代码安全实验室于 2015 年初发起了 “ 奇安信开源项目检测计划 ” ，该计划是一项针对开源软件项目的公益性安全检测计划，旨在让广大开发者关注和了解开源软件的安全问题，提高软件安全开发意识和技能。 2020 年全年 ,“奇安信开源项目检测计划” 对 1364 个开源软件项目的源代码进行了安全检测，代码总量为 124296804行，共发现安全缺陷 1859129个，其中高危缺陷 117738 个。 2020 年检测的 1364 个开源软件项目整体缺陷密度为 14.96个 /千行，高危缺陷密度为 0.95 个 /千行。（ 1）编程语言分布情况 2020 年检测的 1364 个开源项目中，一共涉及到 7 种编程语言，分别是 Java、 C/C+、 Python、 OC、 Go、 JavaScript、 PHP，编程语言的分布情况如下图所示。 8 （ 2）典型安全缺陷检出情况输入验证、路径遍历、跨站脚本、注入、 NULL引用、资源管理、密码管理、 API 误用、配置管理、日志伪造等十类安全缺陷是程序员在编写软件代码时经常会出现的典型安全缺陷。典型安全缺陷的检出率可以体现出软件源代码的基本安全状况（检出率指含有某类缺陷的软件项目数占软件项目总数的比例）。在 2020 年检测的 1364 个开源软件项目中，十类典型安全缺陷的总体检出率为 56.3%，每类典型缺陷的检出率及排名如下表所示。排名缺陷类型检出率 1 输入验证 34.9% 2 路径遍历 30.7% 3 注入 28.6% 4 NULL引用 24.8% 5 API误用 24.3% 6 资源管理 20.7% 618, 45% 321, 23% 174, 13% 84, 6% 69, 5% 49, 4%49, 4% 编程语言总体分布情况 Java C/C+ Python OC Go Javascript PHP 9 7 跨站脚本 19.1% 8 日志伪造 17.9% 9 密码管理 13.8% 10 配置管理 12.9% 3、开源软件公开报告漏洞状况分析据奇安信代码安全实验室监测与统计，截至 2020 年底， CVE/NVD、 CNNVD、 CNVD 等公开漏洞库中共收录开源软件相关漏洞 41342 个，其中 5366 个为 2020年度新增漏洞。（ 1）大型开源项目漏洞总数及年度增长 TOP20 截至 2020 年底，历史漏洞总数排名前 20 的大型开源项目信息如下表所示。序号大型开源项目主页地址历史漏洞总数 1 Linux Kernel kernel/ 4193 2 Chromium (Google Chrome) chromium/Home 2658 3 Mozilla Firefox mozilla/en-US/firefox/ 2093 4 Thunderbird 1023 5 MySQL 997 6 PHP 653 7 Wireshark wireshark/ 597 8 ImageMagick imagemagick/ 597 9 WordPress wordpress/ 561 10 GitLab 465 11 Moodle moodle/ 412 10 12 Xen Project (Hypervisor) xenproject/ 355 13 QEMU qemu/ 333 14 FFmpeg ffmpeg/ 324 15 Chakra Core 279 16 phpMyAdmin 265 17 Oracle VM VirtualBox virtualbox/ 262 18 MediaWiki mediawiki/ 231 19 WebKitGTK webkitgtk/ 221 20 Magento 188 2020年一年间，公开报告漏洞数量增长排名前 20的大型开源项目信息如下表所示。序号大型开源项目主页地址 2020 年漏洞增量 1 Chromium (Google Chrome) chromium/Home 261 2 GitLab 237 3 Linux Kernel kernel/ 235 4 Mozilla Firefox mozilla/en-US/firefox/ 157 5 Mattermost mattermost/ 143 6 MySQL 139 7 Thunderbird 81 8 Oracle VM VirtualBox virtualbox/ 70 9 QEMU qemu/ 46 10 Xen Project (Hypervisor) xenproject/ 43 11 ImageMagick imagemagick/ 43 12 FreeRDP 40 13 Magento 40 11 14 OpenJDK 39 15 Nextcloud 37 16 TensorFlow tensorflow/ 35 17 MediaWiki mediawiki/ 35 18 Chakra Core 32 19 Ghostscript 27 20 WordPress wordpress/ 24 （ 2）主流开源软件包生态系统漏洞总数及年度增长 TOP20 截至 2020 年底，主流开源软件包生态系统中历史漏洞总数排名前 20的开源软件信息如下表所示。序号开源软件所属包生态系统历史漏洞总数 1 TYPO3 CMS Packagist 101 2 Ruby on Rails Rubygems 98 3 OpenSSL Swift 95 4 Exiv2 Conan 80 5 Plone Pypi 79 6 Apache Struts Maven 78 7 Django Pypi 76 8 Dolibarr ERP & CRM Packagist 73 9 Symfony Packagist 73 10 Puppet Rubygems 70 11 Drupal (core) Packagist 65 12 silverstripe-framework Packagist 62 13 Jackson-databind Maven 55 14 Ansible Pypi 53 15 keycloak Maven 53 12 16 OpenShift Origin Godoc 45 17 SQLite Swift 42 18 Zend Framework Packagist 39 19 libxml2 Conan 36 20 Kubernetes Godoc 35 2020 年一年间，主流开源软件包生态系统中公开报告漏洞数量增长排名前 20 的开源软件信息如下表所示。序号开源软件所属包生态系统 2020 年漏洞增量 1 Jackson-databind Maven 26 2 keycloak Maven 22 3 Dolibarr ERP & CRM Packagist 20 4 Ansible Pypi 18 5 Openfire Maven 16 6 Electron - Cross- platform desktop application shell NPM 16 7 Centreon Packagist 14 8 Drupal (core) Packagist 14 9 TYPO3 CMS Packagist 13 10 October CMS Packagist 13 11 Kubernetes Godoc 12 12 SQLite Swift 12 13 Airflow Pypi 12 14 Vault by HashiCorp Godoc 11 15 Apache Tomcat Maven 10 16 Infinispan Maven 10 17 Python Pillow Pypi 10 18 Consul Godoc 9 19 Plone Pypi 9 20 Subrion Packagist 9 13 4、开源软件活跃度状况分析活跃度也是衡量开源软件安全性的一个重要维度。不活跃的开源软件，无论是更新频率很低，或者被废弃，一旦出现安全漏洞，难以得到及时的修复，安全风险很高；活跃的开源软件中，如果其版本更新发布的频率过高，同样会增加使用者运维的成本和安全风险。在选择使用开源软件时，应该充分考虑这两个因素。本报告中分析了 2020 年主流开源软件包生态系统中开源软件的版本更新情况，可以一定程度上体现当前开源软件活跃度的整体状况。（ 1） 61.6%的开源软件项目处于不活跃状态我们将一年内未更新发布过版本的开源软件项目定义为不活跃项目。 2020 年全年，主流开源软件包生态系统中不活跃的开源软件项目数量为 2347794个，占比达到 61.6%。本报告中对八个典型的开源软件包生态系统进行了进一步的分析和比较，这八个包生态系统为 Maven、 NPM、 Packagist、 Pypi、 Godoc、 Nuget、 Rubygems、 Swift，其中 NPM 的不活跃项目数量最多，达到 1018533个， Rubygems 的不活跃项目比例最高，占比达到 86.5%，具体数据见下表。序号包生态系统项目总数不活跃项目数不活跃项目比例 1 Maven 487799 272555 55.9% 2 NPM 1559835 1018533 65.3% 3 Packagist 309125 208890 67.6% 4 Pypi 287113 170044 59.2% 14 5 Godoc 234579 143685 61.3% 6 Nuget 307336 187238 61.0% 7 Rubygems 163392 141259 86.5% 8 Swift 77015 59521 77.3% （ 2） 13000 多个开源软件一年内更新发布超过 100 个版本 2020 年全年，主流开源软件包生态系统中，更新发布 100 个以上版本的开源项目有 13411个。前述八个典型的开源软件包生态系统中，一年内更新发布超过 100 个版本的项目数量见下表。排名包生态系统对应的开发语言一年内发布超过 100 个版本的项目数量 1 NPM Javascript 8317 2 Maven Java 2264 3 Nuget 1104 4 Pypi Python 613 5 Packagist PHP 554 6 Swift Swift 281 7 Godoc Go 193 8 Rubygems Ruby 38 15 四、国内企业软件开发中开源软件应用状况如前所述，现代软件的源代码绝大多数是混源代码，由企业自主开发的源代码和开源软件代码共同组成。本章内容将针对国内企业在进行软件开发工作时，使用开源软件的具体情况进行分析。主要回答两个问题：一是国内企业在软件开发中是否使用以及使用了多少开源软件？二是其使用的开源软件是否存在安全问题？ 2020年全年，奇安信代码安全实验室对 2557 个国内企业软件项目中使用开源软件的情况进行了分析，这些软件项目的应用领域涉及政府、金融、能源等重要行业。分析发现，国内企业在软件开发中普遍使用存在已知漏洞的开源软件，存在巨大的软件供应链安全风险。具体分析数据如下。 1、开源软件总体使用情况分析（ 1）国内企业软件项目 100%使用开源软件在被分析的 2557 个国内企业软件项目中，无一例外，均使用了开源软件。最多的项目使用了 3878 个开源软件，平均每个项目使用 126 个开源软件。使用开源软件最多的 5 个项目情况如下表所示。项目名称使用的开源软件数量项目 1 3878 项目 2 3838 项目 3 3536 项目 4 3062 项目 5 2637 16 经过后续的调研和访谈，我们还发现，软件项目中使用的开源软件数量大大超出了软件项目管理者和程序员自身的认知。由于开源软件之间的依赖关系错综复杂，且软件开发中依赖包的管理通常通过包管理器程序自动管理，软件开发者常常意识不到自己使用了数量巨大的开源软件，因此当某个开源软件曝出安全漏洞时，软件开发者常常 “躺枪”而不自知，这中间隐含了巨大的软件供应链安全风险。（ 2）流行开源软件被近 1/4 的软件项目使用一些流行开源软件会被很多软件项目所使用，这些开源软件一旦出现安全漏洞，影响面将会非常巨大。对于大型企业来说，企业内部可能就有数以百计的软件开发项目，更加需要对流行开源软件保持足够的关注和重视，应该做到对其在本单位内的使用情况心中有数。经统计，在我们分析的 2557 个国内企业软件项目中，被使用最多的开源软件为 Apache Commons Lang，被 622个项目所使用，占比达 24.3%。被使用最多的前 5名开源软件如下表所示。开源软件名称使用它的项目数量被使用率 Apache Commons Lang 622 24.3% Apache Commons Collections 620 24.2% dom4j: flexible XML framework for Java 563 22.0% Simple Logging Facade for Java (SLF4J) 510 19.9% Javax Inject 472 18.5% 17 2、开源软件漏洞风险分析（ 1）近 9 成软件项目存在已知开源软件漏洞分析发现，在 2557 个国内企业软件项目中，存在已知开源软件漏洞的项目有 2280 个，占比高达 89.2%；存在已知高危开源软件漏洞的项目有 2062 个，占比为 80.6%；存在已知超危开源软件漏洞的项目有 1802个，占比为 70.5%。（ 2）平均每个软件项目存在 66 个已知开源软件漏洞在 2557 个国内企业软件项目中，共检出 168604 个已知开源软件漏洞（涉及到 4166个唯一 CVE 漏洞编号），平均每个软件项目存在 66 个已知开源软件漏洞，最多的软件项目存在 1200 个已知开源软件漏洞。存在已知开源软件漏洞数量排名前 5 的项目情况如下表所示。项目存在开源软件漏洞数量项目 1 1200 项目 2 1013 项目 3 649 项目 4 517 项目 5 426 （ 3）影响最广的开源软件漏洞存在于 44.3%的软件项目中从漏洞的影响度来分析，影响范围最大的开源软件漏洞为 CVE- 2020-5421，影响了 44.3%的软件项目。影响度排名前 5 的开源软件漏洞情况如下表所示。 18 漏洞名称 CVE 编号影响项目数量影响度 Spring Framework 安全漏洞 CVE-2020-5421 1132 44.3% Google Guava访问控制错误漏洞 CVE-2020-8908 1021 39.9% Apache Log4j信任管理问题漏洞 CVE-2020-9488 1020 39.9% FasterXML Jackson-databind代码问题漏洞 CVE-2020-8840 905 35.4% FasterXML Jackson-databind代码问题漏洞 CVE-2020-25649 866 33.9% （ 4） 15 年前的开源软件漏洞仍然存在于多个软件项目中分析发现，部分软件项目中存在十几年前公开的古老开源软件漏洞，最古老的漏洞是 2005 年 11 月公开的 CVE-2005-3510，仍然存在于 31个项目中。部分古老开源软件漏洞的影响情况如下表所示。漏洞名称 CVE 编号发布日期影响项目数量 Apache Tomcat目录列表拒绝服务漏洞 CVE-2005-3510 2005.11.06 31 Jetty URL编码的反斜杠源代码泄露漏洞 CVE-2005-3747 2005.11.22 41 Apache Tomcat跨站脚本攻击漏洞 CVE-2005-4838 2005.12.31 32 Apache Struts ActionForm拒绝服务漏洞 CVE-2006-1547 2006.3.30 32 Apache Struts 特定参数安全绕过漏洞 CVE-2006-1546 2006.3.30 32 3、开源软件运维风险分析开源软件运维风险复杂多样，本报告主要从老旧开源软件的使用和开源软件多版本的使用角度进行分析。（ 1） 18 年前的老旧开源软件版本仍在被使用分析发现，许多软件项目中使用了十几年前发布的开源软件版本，存在很大的运维风险。被使用的老旧开源软件版本中，最老旧的一个 19 是 2003 年 3 月 3 日发布的 Apache Xalan 2.5.D1，已经有 18 年之久，但仍然被 7 个软件项目所使用。按老旧程度排名前 5 的开源软件如下表所示。开源软件名称版本号版本发布日期使用它的项目数量 Apache Xalan 2.5.D1 2003.03.03 7 XML Pull Parsing API 1.1.3.1 2003.06.17 273 JDOM 1.0-FCS 2004.09.03 25 SSLExt 1.2-0 2004.10.04 17 Jboss J2se 200504122039 2005.04.26 14 （ 2）开源软件各版本使用非常混乱分析发现，各个项目中开源软件使用的版本非常混乱，并非使用的都是最新版本。 Spring Data是被使用版本最多的开源软件，有 162 个版本在被使用。按照被使用版本的数量排序，排名前 5 的开源软件情况如下表所示。开源软件名称被使用的版本数量 Spring Data 162 Jackson-databind 141 Apache Tomcat 132 Jetty 126 Hibernate ORM 121 20 五、典型软件供应链安全风险实例分析 1、国内某主流 OA 系统供应链安全分析本实例中分析的 OA 系统是一款国产 OA 系统，覆盖了流程审批、会议管理、考勤管理、假期管理等在内的各种日常办公场景，能够有效地提升组织管理与协同的效率。该系统在国内应用非常广泛，覆盖了政府、金融、医疗、建筑等数十个行业的数万个客户。经分析发现，该 OA 系统中使用了 Spring Framework、 Apache Commons FileUpload、 Apache Commons Codec、 Apache Log4j 等在内的超过 20款开源软件，并因此引入了 500余个已知开源软件漏洞，其中包括超危漏洞 3 个、高危漏洞 8 个。例如，该 OA 系统中使用的 Spring Framework 3.2.0.RELEASE中，存在超危漏洞 CVE-2018-1270，可导致远程代码执行。该 OA 系统中使用的部分开源软件及漏洞情况如下表所示。序号开源软件名称开源软件版本漏洞情况 1 Spring Framework 3.2.0.RELEASE 超危 :1，高危 :2，中危 :14 2 Apache Log4j 1.2.14 超危 :1，低危 :1 3 Apache Commons FileUpload 1.2.2 超危 :1，高危 :3，低危 :1 4 MySQL 5.0.20 高危 :2，中危 :14，低危 :454 5 Apache Standard Taglib Implementation 1.1.2 高危 :1 6 jQuery 1.8.3 中危 :6，低危 :1 7 Select2 3.5.1 中危 :1 8 bootstrap-select 1.4.3 中危 :1 9 Ueditor 1.3.5 中危 :1 10 Apache Commons Codec 1.7 低危 :1 21 OA 系统是每个现代企业必不可少的重要信息系统之一，其自身的安全性对于整个企业的信息安全至关重要， OA 系统中由于开源软件漏洞而导致的软件供应链安全风险应该被企业客户了解和关注。 2、国内某流行 Windows 桌面软件供应链安全分析本实例中分析的是国内流行的某跨平台即时通讯软件，该软件具备发送语音短信、视频、图片和文字等功能，国内用户数量巨大。经分析发现，该即时通讯软件的 Windows 桌面版本，使用了 Google V8 JavaScript Engine、 zlib、 OpenSSL、 libjpeg、 FFmpeg、 SQLite、 libpng 等在内的 80 余款开源软件，存在已知开源软件漏洞上百个，其中超危漏洞 10 个，高危漏洞 26个。例如， zlib 的超危漏洞 CVE-2016-9841， Google V8 JavaScript Engine 的超危漏洞 CVE- 2016-2843。该软件中使用的部分开源软件及漏洞情况如下表所示。序号开源软件名称开源软件版本漏洞情况 1 Google V8 JavaScript Engine 3.29.88.17 超危 :4，高危 :8，中危 :4 2 zlib 1.2.8 超危 :2，低危 :2 3 SQLite 3.10.2 超危 :4，高危 :6，低危 :9 4 SQLite 3.26.0 超危 :3，高危 :3，低危 :8 5 libpng 1.5.1 高危 :3，中危 :11，低危 :5 6 OpenSSL 1.1.1d 高危 :3，中危 :3 7 curl 7.60.0 高危 :2，中危 :6，低危 :14 8 OpenSSL 1.1.1c 高危 :2，中危 :5，低危 :2 9 FFmpeg 3.2 高危 :1，中危 :6，低危 :9 10 libpng 1.6.37 中危 :1 22 即时通信软件已经成为我们日常生活中不可缺少的沟通工具，其软件供应链安全风险可能会影响到我们每个人，应该引起足够的重视。 3、某国产网络设备固件供应链安全分析本实例中分析的是某国产无线路由器设备，该设备支持远程脱机下载、远程文件