【会议记录】2022北京网络安全大会-杨珉-软件供应链安全治理之漏洞补丁：现状及应对方案

嘉宾：杨珉
复旦大学计算机科学技术学院副院长
复旦大学系统软件与安全实验室主页：https://secsys.fudan.edu.cn/26976/list.htm
演讲主题：软件供应链安全治理之漏洞补丁：现状及应对方案
演讲视频链接：https://bcs.qianxin.com/speaker/detail?id=63
参考链接：公众号：复旦白泽战队的推文

主要从补丁方案和应对角度介绍杨教授他们目前的进展。

当前，大量基础软件都在受到开源代码漏洞的影响，而部署漏洞对应的安全补丁，是当前封堵漏洞、修复漏洞的主要技术手段。但现实的情况是，在软件供应链场景下漏洞的利用和攻击手段在持续变化；与之相应的，在攻防对抗的演化过程当中，也对安全补丁的开发、传播与部署各环节提出了更高的要求，这些环节直接制约了漏洞修复的成效。

p1

p2

p3

p4

p5

p6
杨教授指出，目前漏洞补丁的问题其实比想象的严峻。站在安全补丁生命周期的视角，目前主要存在三大现状与挑战。

• 第一个现状是补丁传播链路长。以Linux为例，漏洞披露以后，从补丁被开发，到最终被应用与终端的手机产品上，需要经过Linux、AOSP、高通、手机厂商等4到5家不同的组织或公司，每个公司内部还会设计到数个不同的软件开发线。补丁披露以后通常会被国内外主流数据库所收录，形成基于情报链的补丁传播，补丁需要在这些公司和开发线中从上而下逐一传递。
  
  p7
  在这样较长的补丁传播链路中，补丁的管理存在着大量安全风险。最经典的问题是，上游开源社区管理模式非常松散，很难有效推动漏洞修复和补丁开发，尤其是大量开源社区完全是依靠个人开发者的贡献，开发资源十分有限。
  比如，linux社区直到2021年2月份，linux内核才有两名专职安全人员。

p8
在供应商之间，补丁的部署成本高且速度过慢，他展示了安卓供应链生态的补丁传播研究成果：左图反映的是linux和高通定制版linux漏洞的传播，超过90%的CVE漏洞，从高通发布补丁到下游OEM厂商完成部署补丁，其平均耗时超过100天，即这些漏洞至少存在3个多月的可攻击时间。

p9
同时, 这种上下游补丁传播长链路的特点，也导致传播的时间叠加。
linux平均要15天才能传播到android社区，通常90天左右才能与高通完成补丁修复，再到下游厂商100多天。

p10

• 第二个现状是漏洞多分支补丁部署混乱。存在补丁在部分受影响版本上未被部署和补丁在不同分支上部署时间存在延迟的问题，这就导致这些未被修复的版本和延迟修复的版本存在被攻击的安全风险。研究发现，约80%以上受影响的软件分支版本都没有部署补丁，而且这种现象在典型开源软件中广泛存在。
  
  p11
  
  p12
  
  p13
• 第三个现状是补丁信息披露不完整。存在部分安全漏洞未披露至漏洞平台和已披露漏洞的补丁信息不完整的情况。
  • 一方面，部分安全漏洞并没有披露给漏洞平台，而是由软件供应厂商内部秘密地进行修复，甚至他们会有意地组织向漏洞平台报告漏洞，导致其他厂商无法及时地知晓并且修复漏洞。
  • 另一方面，对于部分已披露的漏洞，由于漏洞披露方式的不规范，其披露的信息中并不包含补丁信息，那么其他厂商依旧无法及时地对漏洞进行修复。
    
    p14
    漏洞库补丁披露方式有两种，一种是附在参考链接中，另外一种是提供了标识补丁或者补丁标签内容。
    但这里经常会出错，例如黄色方框框起来的地方，这里把他标注为issue但事实上这个链接代表补丁，下一行这里标注为patch是一个补丁，但事实上你去看它实际上它只是一个issue不是一个补丁。这是NVD当中一个错误。
    
    p15
    由于对这个很好奇，杨教授团队针对6000多个漏洞补丁披露信息进行了评估，根据它的链接根据它的标签得到的结论是：
    在NVD当中大约有40%的CVE没有提供相应的补丁信息，而且提供部分补丁信息还是错误的，尤其是作为patch标签标识这一类，这3000多个patch数量大概也就勉强超过50%，针对实用数据集低于50%。
    
    p16
    针对以上现状，杨教授团队针对补丁信息挖掘技术和漏洞补丁管理技术展开了研究。
    
    p17
    补丁信息挖掘领域的研究

p18

p19
说明静默修复漏洞这种情况还是非常普遍的。

p20
主要思路是从公开的漏洞数据库中获取漏洞的描述信息，同步在代码仓库中研究如何定位漏洞所对应安全补丁。
论文：2021CCS Locating the Security Patches for Disclosed OSS Vulnerabilities with Vulnerability-Commit Correlation Ranking

p21
增强指的是两个漏洞平台采纳我们的建议，对于补丁信息进行了完善。

p22

p23

p24
排除与漏洞根因无关的修改，例如功能命名控件和格式修改等等。

p25

p26

p27

p28

p29