WhiteSource通過對 650 多個開發人員進行了調查，并從NVD(Nartional Vulnerability Database)、安全公告、經過同行評審的漏洞數據庫、問題跟蹤程序等渠道收集了數據之后，整理發布了一份研究報告。該報告顯示，2019 年公開的開源軟件漏洞數已激增至 6000 多個，同比增長了近 50%。
值得慶幸的是，其中有 85%的漏洞已被披露，并提供了相應的修復程序。
不過報告也指出，遺憾的是，最終只有 84% 的已知開源漏洞出現在 NVD 中。且有關漏洞的信息并沒有集中在一個位置發布，而是分散在數百種資源中。因此，一旦出現索引編制不正確的狀況時，就會使得搜索特定數據變得愈發艱難。
而報告的開源漏洞也中有 45% 并未是最初就報告給 NVD 的，許多漏洞是在其他渠道中被報告數月后才在 NVD 中發布。在NVD 之外報告的所有開源漏洞中，也只有 29% 最終被登記在冊。
此外，研究人員還對 2019 年漏洞排名前七的編程語言進行了比較，并將其與過去十年的數量進行了比較。結果發現，在這幾種語言中，歷史基礎最好的C 語言占有最高的漏洞百分比。PHP 的相對漏洞數量也在大幅增加，但沒有跡象表明其流行度有同樣的提升。而 Python方面，盡管該語言在開源社區中的普及率在持續上升，但其漏洞百分比仍相對較低。
另一方面，該報告還考慮了通用漏洞評分系統(Common Vulnerability Scoring System，CVSS)的數據是否是衡量補漏優先級的最佳標準。CVSS在過去的幾年中已進行了多次更新，以期達到為可對所有組織和行業提供支持的客觀可衡量標準。然而在此過程中，它也改變了高嚴重性漏洞的定義。舉例來說就是，此舉意味著此前在 CVSS v2 下被定為 7.6 的漏洞，在 CVSS v3.0標準下就可能被定為 9.8，這也意味著團隊會面臨著更多的高嚴重性問題。現在，已有超過 55% 的用戶具有高嚴重性或嚴重性問題。
報告預測，在 2020 年，開源軟件漏洞的數量還會持續增長。不過與此同時，一些針對開源安全系統的計劃也在不斷推進。
最后，報告作者也總結稱，“最重要的一點是，列表中提及的開源項目具有漏洞并不意味著它們就不安全。這僅意味著作為開源項目的用戶，您需要了解安全風險，并確保保持開源依賴關系的最新狀態。”
責任編輯：Rex_08
營業執照公示信息