奇安信：2022中国软件供应链安全分析报告会员免费优质

1 2022 中国软件供应链安全 分析报告 奇安信代码安全实验室 2022 年 6 月

I 目 录 一、概述......................................................................................1 1、软件供应链安全攻击事件保持持续高发...................................... 1 2、开源软件安全风险是当前软件供应链安全的焦点问题 .............. 3 二、国内企业自主开发源代码安全状况.................................5 1、编程语言分布情况 ........................................................................ 5 2、典型安全缺陷检出情况 ................................................................. 6 三、开源软件生态发展与安全状况.........................................7 1、开源软件生态发展状况分析 ......................................................... 7 2、开源软件源代码安全状况分析 ..................................................... 9 （1）编程语言分布情况 .................................................................. 9 （2）典型安全缺陷检出情况 ........................................................ 10 3、开源软件公开报告漏洞状况分析 ............................................... 10 （1）大型开源项目漏洞总数及年度增长 TOP20 .......................... 10 （2）主流开源软件包生态系统漏洞总数及年度增长 TOP20 ...... 12 4、开源软件活跃度状况分析 ........................................................... 14 （1）7 成开源软件项目处于不活跃状态 ..................................... 14

II （2）近 2 万个开源软件一年内更新发布超过 100 个版本 ......... 15 5、关键基础开源软件分析 ............................................................... 16 （1）主流开源生态关键基础开源软件 TOP50 .............................. 16 （2）2/3 的关键基础开源软件从未公开披露过漏洞 .................. 19 （3）关键基础开源软件的整体运维风险较高 ............................. 20 四、国内企业软件开发中开源软件应用状况.......................20 1、开源软件总体使用情况分析 ....................................................... 21 （1）平均每个软件项目使用 127 个开源软件 ............................. 21 （2）流行开源软件被超过 1/3 的软件项目使用 ......................... 21 2、开源软件漏洞风险分析 ............................................................... 22 （1）77%的软件项目存在容易利用的开源软件漏洞 ................... 22 （2）平均每个软件项目存在 69 个已知开源软件漏洞 ............... 23 （3）影响最广的开源软件漏洞存在于超 3 成的软件项目中 ..... 23 （4）16 年前的开源软件漏洞仍然存在于多个软件项目中 ........ 25 3、开源软件许可协议风险分析 ....................................................... 25 （1）最流行的开源许可协议在超 3/4 的项目中使用 ................. 26 （2）45.6%的项目使用了含有高风险许可协议的开源软件 ....... 26 4、开源软件运维风险分析 ............................................................... 27 （1）20 年前的老旧开源软件版本仍在被使用 ............................ 27

III （2）开源软件各版本使用更加混乱 ............................................ 28 五、典型软件供应链安全风险实例分析...............................29 1、某主流网络接入存储(NAS)设备供应链攻击实例分析 .............. 29 2、某主流 VPN 路由器供应链攻击实例分析.................................... 31 3、三款国产操作系统供应链攻击实例分析.................................... 33 4、某国产邮件系统供应链攻击...