一份新报告显示，今年发布的 CVE预计将超去年，一些组织仍然容易受到旧的、未修补的 CVE 的攻击。
Trustwave SpiderLabs的一份新报告显示，今年到目前为止发布的CVE 数量可能比2021年同期高出35%。虽然与去年相比各企业对有效的补丁管理有了更深刻的认识，但如果目前的趋势继续下去，2022年发布的CVE总数将超过2021年。
命令注入、RCE漏洞中常见的前三大 CWE 分类
报告中预估，截至 6 月 16 日，2022 年发布的 CVE 数量比去年增加了约 6% 至 35%。“2022 年 CVE 的前三个常见缺陷枚举分类是 CWE-79、CWE-89 和 CWE-787”。“这三个缺陷在命令注入和远程代码执行漏洞中很常见。”
Shodan 数据显示，一些备受瞩目的漏洞仍然普遍存在，SpiderLabs 表示，白帽和黑帽都在继续扫描互联网，收集有关这些漏洞的信息。
包括 Log4Shell 在内的高调漏洞仍然易受攻击，已被利用
截至2022年6月9日，尽管距离发现已有6个月的时间，仍发现了1,467个Log4Shell (CVE-2021-44228)漏洞。这些易受攻击的实例来自俄罗斯、美国和德国，分别为266台(18%)、215台(15%)和205台(15%)。
SpiderLabs表示，报告只调查了受影响的产品，并未对其进行处理。目前仍然有对漏洞的尝试利用。“通过覆盖互联网的传感器网络GreyNoise6，该公司检测到在30天内，有667个独立IP地址试图在互联网上使用Log4Shell。
根据报告调查数据，在2022年第一季度末出现的Spring4Shell (CVE-2022-22965)漏洞的实例数目前很低。“在审查的452520个实例中，只有0.0758%存在漏洞。截至2022年6月12日，最容易受到攻击的国家是中国、美国和爱尔兰，分别有122个(36%)、93个(27%)和18个(5%)。”Spring4Shell仍然被利用，但没有Log4Shell那么活跃，平均每天有15到20个ip试图利用Spring4Shell，报告补充说。
Atlassian的Confluence服务器和数据中心远程代码执行漏洞(CVE-2022-26134)于2022年6月初发布，截至6月11日，在Shodan上发现的7074台主机中，只有4.44%存在漏洞。“中国、美国和俄罗斯的数量最多，分别为120(38%)、37(12%)和27(9%)。”报告称，截至6月19日，有2398个独立IP地址被检测到试图利用CVE-2022-26134。
未修补漏洞的风险因公司而异
此外，在评估CVE-2021-44228、CVE-2022-22965、CVE-2022-1388或CVE-2022-26134的漏洞时，SpiderLabs发现，2016年以来，一些CVE仍然容易受到攻击，其中最常见的是OpenSSH中的CVE-2017-15906漏洞。这表明，容易受到新漏洞攻击的组织也可能无法修补已有多年历史的漏洞。
一些情况会使组织无法迅速或根本无法修补漏洞。一方面，组织打补丁需要时间，比如在将补丁部署到生产环境之前可能希望在预生产环境中测试补丁，或者没有意识到安装补丁的紧迫性。另外一些组织可能会因为各种原因根本不会安装补丁。
及时打补丁在维护网络安全上起着至关重要的作用，安全漏洞将软件置于危险之中。数据显示，90%以上的网络安全事件和软件漏洞被利用有关，除了及时对缺陷打好补丁，在软件开发期间通过静态代码检测可以减少30%-70%的缺陷，大大提高软件安全性。当前，通过提高软件自身安全性以确保网络安全，已成为继传统网络安全防护软件之后的又一有效手段。
链接：
