江苏龙网

  1. 首页 > 资讯 > 科技 > >

补丁|注意及时打补丁 | 80%的漏洞利用公开时间早于CVE编号获得时间


Exploit Database
Exploit Database 是最大的公开漏洞利用库 。 截至目前 ， Exploit Database中有45450个漏洞利用 。 图1左是按照漏洞利用类型分类的漏洞利用数和公布时间 ， 图1右是按照平台分布的漏洞利用 。 统计数据表明web应用是2003之后最流行的漏洞利用 。
补丁|注意及时打补丁 | 80%的漏洞利用公开时间早于CVE编号获得时间
本文插图

图1（左）按照漏洞利用类型分类的漏洞利用数和公布时间（右）按照平台分布的漏洞利用
图2是CVSS 2.0评分和漏洞利用的严重等级 。 49%的漏洞利用为严重等级为high（CVSS &gt=7） ， 45%的漏洞利用为严重等级为medium（4=
补丁|注意及时打补丁 | 80%的漏洞利用公开时间早于CVE编号获得时间
本文插图

图2. 2000年后公布的漏洞按严重等级划分
漏洞、补丁和漏洞利用之间的时间差
为更好地理解公开漏洞利用的影响 ， 研究人员分析了漏洞利用和相关的CVE编号 。 此外 ， 还有的漏洞利用没有对应的CVE编号 ， 有些漏洞利用的CVE编号可能还没有公布 。 目前 ， Exploit Database中有11079（约26%）的漏洞利用有对应的CVE编号 。 本研究只关注那些有CVE编号的公开漏洞利用 ， 并分析了漏洞发现、公开漏洞利用以及发布补丁的时间 。

图3 是漏洞发现到公开CVE编号的时间线 。 精确的漏洞发现时间一般是不知道的 ， 但分配CVE-ID的时间和CVE在CVE数据库中发布的时间是可以查到的 。 一般来说 ， CVE公布的时间就在厂商发布补丁之后的 。 一旦补丁发布 ， 攻击者就可以通过逆向补丁来恢复出漏洞 。 从中可以看出 ， 大多数的漏洞利用开发和公布的时间在补丁发布后的一周内 。 一些厂商可能会选择延迟CVE发布的时间来给用户更多的时间去更新补丁 。
当CVE正式公布后 ， 与漏洞相关的信息就会全部公开 。 此时 ， 安全厂商开始开发漏洞签名和保护策略 。 大多数的攻击者也开始进行漏洞利用 。 在这场攻防对抗的游戏中 ， 速度决定成败 。 也就是说CVE公布的时间、补丁和漏洞利用发布的时间对安全来说都是非常重要的 。
补丁|注意及时打补丁 | 80%的漏洞利用公开时间早于CVE编号获得时间
本文插图

图3. 漏洞发现/公布、补丁发布和漏洞利用公布的时间
补丁|注意及时打补丁 | 80%的漏洞利用公开时间早于CVE编号获得时间
本文插图

图4. 补丁发布后几周内漏洞利用公布的数量

图4是补丁发布后每周漏洞利用公布的数量 。 Week 1表示漏洞补丁发布后1周内漏洞利用公布的数量 。 对0 day漏洞 ， 补丁发布日期前公布漏洞利用的week为负值 。 因为漏洞补丁发布的时间不在Exploit Database和CVE库中 ， 因此研究人员对2015年以来的500个高危漏洞利用作为样本进行了分析 。 分析发现 ， 14%的漏洞利用在补丁发布前公开 ， 23%的漏洞利用是在补丁发布后1周内公开的 ， 有50%的漏洞利用是在补丁发布后一个月公开的 。 平均情况下 ， 漏洞利用是在补丁发布后37天公开的 。
图5是CVE公布后几周内漏洞利用公开的数量 。 与图4类似 ， 漏洞利用公布时间早于CVE编号发布时间的week数为负 。 研究人员发现 ， 有80%的漏洞利用公布时间早于CVE发布时间 。 一般来说 ， 漏洞利用的发布时间比CVE的发布时间早23天 。 此外 ， 还有75%的漏洞利用没有对应的CVE编号 。
研究人员分析CVE数据库后发现 ， 并不是所有的CVE都是在补丁发布后立刻公布的 。 因此 ， CVE发布后 ， 漏洞利用已经发布了 ， 这也说明攻击者比安全研究人员快一步 。
补丁|注意及时打补丁 | 80%的漏洞利用公开时间早于CVE编号获得时间
本文插图

图 5. CVE公布后几周内漏洞利用公开的数量


推荐阅读


上一篇：红米手机|不同风格的红米Note 8手机壳，看看哪款适合你

下一篇：智能穿戴|拾遗｜南卡新品耳机外形lite，性能plus！