针对8万个应用程序的调查发现，有7成程式含有开源漏洞

应用程序安全业者Veracode本周公布其软件安全研究报告，指出在所扫描的8.5万个应用程序中，有7成应用程序所使用的开源函式库，至少含有一个安全漏洞。

此次Veracode的研究着眼于开源函式库的安全漏洞。这是因为在现代的应用程序中，开源函式库几乎无所不在，例如大多数的JavaScript程式都含有数百个开源函式库，有些更超过1千个；而且许多程式语言都有同样的核心函式库组合，例如每一个JavaScript或PHP程式都使用了一些特定的核心函式库。

Veracode分析了8.5万个应用程序所使用的35.1万个外部函式库，显示开源函式库几乎无所不在，以JavaScript程式的使用数量最多，多半使用数百个开源函式库，而不管是Ruby程式、Java程式、PHP程式、.NET程式、Python程式、Go或Swift程式，也都使用了数个到数百个不等的开源函式库。

根据统计，有接近6成的PHP开源函式库含有安全漏洞，超过5成的Go开源函式库有漏洞，虽然只有20%左右的Swift开源函式库含有安全漏洞，但Swift开源函式库的漏洞密度最高，代表每个Swift开源函式库含有更多的漏洞，约为7个。约有26%的JavaScript开源函式库含有安全漏洞，但平均每个函式库的漏洞数量为2个。

这些开源函式库的安全漏洞前三名为跨站指令码（Cross-site scripting，XSS），占29.1%，不安全的反序列化（23.5%），以及有缺陷的存取控制（20.3%）。

值得注意的是，在应用程序中所采用的、含有安全漏洞的函式库，有高达47%并非是开发者自行嵌入的，而是因为与其它函式库相依而被导入的，而这样的情况在JavaScript、Ruby、PHP与Java程式中特别常见。不过，幸好7成的漏洞只要借由更新就能修补，而不必重写程式。