随着数字化转型全面展开，使用的代码量也随之急剧增加，同时也意味着攻击面也在增加。这给软件研发和安全团队带来了挑战。提前了解常见漏洞的现状和趋势可以帮助他们提前部署，防患未然。

新思科技(Synopsys, Nasdaq: SNPS)近日发布了《2023年软件漏洞快照》报告。新思科技网络安全研究中心 (CyRC) 分析的数据显示，目标应用中发现的漏洞显著减少——从 2020 年的 97% 下降到 2022 年的 83%——这是一个令人鼓舞的迹象，表明代码审查、自动化测试和持续集成有助于减少常见的编程错误。

该报告详细介绍了由新思科技安全测试服务运行的测试汇总出的三年数据(2020 年至 2022 年)，测试目标包括 Web 应用、移动应用、网络系统和源代码。测试结合多种安全技术，包括渗透测试、动态应用安全测试 (DAST)、移动应用安全测试 (MAST) 和网络安全测试，旨在探测在真实环境不法分子会如何攻击正在运行的应用。

虽然行业采取积极措施应对软件漏洞，数据表明，依靠静态应用安全测试 (SAST) 等单一工具作为解决方案的方法已不再适用。例如，服务器配置错误平均占三年测试中发现的漏洞总数的 18%。如果没有结合多层安全措施，例如SAST识别编码缺陷、DAST检查正在运行的应用、软件组成分析(SCA)识别第三方组件引入的漏洞以及渗透测试识别内部测试可能遗漏的问题，这些类型的漏洞可能会无法检测出来。

新思科技质量与安全部门总经理Jason Schmitt表示：“多年来我们第一次看到软件中已知漏洞的数量有所下降，这给企业带来了新希望。他们严肃对待安全问题，并优先考虑对软件安全部署全面的策略，以持续确保安全。随着黑客变得越来越老练，我们比以往任何时候都更需要采取多层安全措施，以识别软件风险所在并保护企业免遭利用。”

《2023年软件漏洞快照》报告还发现：

• 高危漏洞的可能性较小：过去三年平均有 92% 的测试发现了某种形式的漏洞。然而，这些测试中只有 27% 包含高危漏洞，6.2% 包含关键高危漏洞。

• 信息泄露仍然是首要风险：2020年至2022 年发现的首要安全问题没有变化——信息泄露，这是敏感信息暴露给未经授权方时发生的重大安全问题。平均 19%的漏洞与信息泄露问题直接相关。

• 跨站脚本攻击呈上升趋势：2022 年发现的所有高危漏洞中，有 19% 容易受到跨站脚本攻击。

• 第三方软件风险增加：2022 年十大安全问题中，25% 的测试发现“使用易受攻击的第三方库”存在风险。如果您不知道正在使用的所有组件(包括第三方和开源组件)的版本，那么软件可能容易受到攻击。