开源软件代码安全缺陷分析报告——物联网软件专题

随着软件技术飞速发展，开源软件已在全球范围内得到了广泛应用。数据显示，99%的组织在其IT系统中使用了开源软件。开源软件的代码一旦存在安全问题，必将造成广泛、严重的影响。为了解开源软件的安全情况，CNCERT持续对广泛使用的知名开源软件进行源代码安全缺陷分析，并发布季度安全缺陷分析报告。

自2005年国际电信联盟（ITU）正式提出“物联网（IoT）”这一概念以来，物联网在全球范围内迅速获得认可。随着物联网技术的发展创新，大量智能家居和可穿戴设备进入了人们的生活，“万物互联”成为全球网络未来发展的重要方向。根据Gartner报告预测，2020年全球物联网设备数量将高达260亿个。然而，由于安全标准滞后，以及智能设备制造商缺乏安全意识和投入，物联网已经埋下极大隐患，为个人隐私、企业信息安全甚至国家关键基础设施带来严重的安全威胁。

本期报告选取全球20款知名物联网软件进行源代码安全缺陷分析，结合缺陷分析工具和人工审计的结果，评估项目的安全性。从测评结果来看，与往期其他领域开源软件相比，物联网类软件的安全缺陷较多，潜在的安全问题不容忽视。同时，技术人员随机抽取安全缺陷进行人工利用，发现存在能够被证实的安全漏洞，通过漏洞能够获取物联网云端服务器权限，一旦该漏洞被黑客利用，则存在物联网设备被远程操纵的安全风险。

综合考虑用户数量、受关注程度以及更新频率等情况，选取了20款具有代表性的物联网类开源软件。表1列出了本次被测的开源物联网软件项目的概况，项目按照Github上Star的数量降序排列。本次检测的软件涵盖了C、C++、Java、JavaScript（JS）等编程语言。这些开源软件项目都是国际知名的，拥有广泛用户的软件项目，其中不乏由知名软件公司开发的软件。由于这些软件大多具有巨大的用户群体，软件中的安全缺陷很可能会造成严重的后果。

表1 被测开源软件项目概览

3.1、安全缺陷种类

本次测试涵盖各类常见安全缺陷。根据缺陷形成的原因、被利用的可能性、造成的危害程度和解决的难度等因素进行综合考虑，可以将常见的安全缺陷分为八类：

1、输入验证

输入验证与表示问题通常是由特殊字符、编码和数字表示所引起的，这类问题的发生是由于对输入的信任所造成的。这些问题包括：缓冲区溢出、跨站脚本、SQL注入、命令注入等。

2、API使用

API是调用者与被调用者之间的一个约定，大多数的API误用是由于调用者没有理解约定的目的所造成的。当使用API不当时，也会引发安全问题。

3、安全特性

该类别主要包含认证、访问控制、机密性、密码使用和特权管理等方面的缺陷。

4、并行计算

线程和进程之间的交互及执行任务的时间顺序往往由共享的状态决定，如信号量、变量、文件系统等。与分布式计算相关的缺陷包括竞态条件、阻塞误用等。

5、错误和异常处理

这类缺陷与错误和异常处理有关，最常见的一种缺陷是没有恰当的处理错误（或者没有处理错误）从而导致程序运行意外终止，另一种缺陷是产生的错误给潜在的攻击者提供了过多信息。

6、代码质量

低劣的代码质量会导致不可预测的行为。对于攻击者而言，低劣的代码使他们可以以意想不到的方式威胁系统。常见的该类别缺陷包括死代码、空指针解引用、资源泄漏等。

7、封装和隐藏

合理的封装意味着区分校验过和未经检验的数据，区分不同用户的数据，或区分用户能看到和不能看到的数据等。常见的缺陷包括隐藏域、信息泄漏、跨站请求伪造等。

8、代码运行环境

该类缺陷是源代码之外的问题，例如运行环境配置问题、敏感信息管理问题等，它们对产品的安全仍然是至关重要的。

前七类缺陷与源代码中的安全缺陷相关，它们可以成为恶意攻击的目标，一旦被利用会造成信息泄露、权限提升、命令执行等严重后果。最后一类缺陷描述实际代码之外的安全问题，它们容易造成软件的运行异常、数据丢失等严重问题。

3.2、安全缺陷级别

我们将源代码的安全问题分为三种级别：高危（High）、中等（Medium）和低（Low）。衡量级别的标准包括两个维度，置信程度（confidence）和严重程度（severity）。置信程度是指发现的问题是否准确的可能性，比如将每个strcpy()调用都标记成缓冲区溢出缺陷的可信程度很低。严重程度是指假设测试技术真实可信的情况下检出问题的严重性，比如缓冲区溢出（buffer overflow）通常是比空指针引用（null pointer dereference）更严重的安全问题。将这两个因素综合起来可以准确的为安全问题划分级别，如图1所示。

图1 缺陷级别与严重程度、置信程度的关系

本部分首先展示从被测项目中检出安全缺陷的数量，由此对被测项目的安全性进行大致的评估。然后进一步讨论被测项目中安全缺陷的分布情况，了解项目中出现较多的、容易被忽略的安全问题。

4.1、安全缺陷情况概览

本部分展示被测项目查出缺陷的数量，由此对被测项目的安全性进行大致的评估。图2分别展示了项目不同级别缺陷的数量，并按照高危缺陷数量对项目进行了排序，图中用蓝色折线图展示了每千行代码包含缺陷数，红色折线图为项目在Github上的star的数量。

图2 开源软件项目缺陷情况

4.2、高危安全缺陷分布情况

本部分对高危缺陷的分布情况进行分析说明。图3展示了被测项目高危缺陷大类的分布情况。数据表明，绝大多数缺陷为“输入验证”类缺陷，该类缺陷主要是由于对用户输入未做充分验证导致的，易造成缓冲区溢出、路径遍历、跨站脚本及各类注入缺陷，一旦攻击者构造恶意输入，可能造成任意命令执行、任意文件读取等严重安全问题。

图3 被测项目中高危安全缺陷的分布情况（按大类划分）

图4进一步展示了被测项目中各种具体的高危安全缺陷的分布情况。为方便展示，将出现不超过10次的缺陷统一归入“其他”，主要包括越界访问（9个）、硬编码密码（6个）等问题。在被测的20个项目中，出现较多的几类具体缺陷依次是跨站脚本（488个）、路径遍历（76个）和SQL注入（53个）。由于本期被测软件主要为物联网应用开发框架，提供物联网服务器端服务，这些缺陷将极大的提升服务器被攻击者获取控制权的风险，从而导致物联网设备被恶意操控、用户个人隐私泄露的风险。

图4 被测项目中高危安全缺陷的分布情况（按具体缺陷划分）

4.3、安全缺陷总体分布情况

上文针对被测项目中的高危缺陷的检出情况对项目的安全状况进行了分析。通常来说，与高危缺陷相比，中危缺陷在实际运行环境中的危害相对较小，但仍不容忽视，且能在一定程度上反映出项目的代码质量、开发人员对代码安全问题的重视程度等。为了更全面的了解被测项目的安全状况，本节进一步展示包括中危缺陷在内的安全缺陷的总体分布情况。

图5展示了被测项目中安全缺陷大类的分布情况。与高危级别的缺陷分布情况相比，代码质量类、API使用类缺陷占比大幅提升。项目中存在大量的“不当的位运算”、“不当的字符比较”、“资源未释放”、“使用不安全的函数”等问题，集中反映出开发者的不良编程习惯。与输入验证类问题相比，这类问题被攻击者利用的门槛相对较高，但一旦被利用，仍然会发生拒绝服务、执行任意命令等严重风险。

图5 被测项目中的中高危安全缺陷的分布情况（按大类划分）

表2进一步展示了被测项目中的各种具体的中高危安全缺陷的分布情况。由于本次被检测出的缺陷数量较大，共出现了85种中高危缺陷，为方便阅读，仅在表中列出出现50次以上的缺陷种类。

表2 被测项目中的中高危安全缺陷的分布情况

（按具体安全缺陷种类划分）