2016軟體漏洞排行榜：谷歌安卓系統「奪冠

導讀

百年大計，安全第一。安全，是創新的保證。安全，也是我們關注前沿創新技術時，始終需要注意的一個關鍵因素。2017伊始，我們先回顧一下CAE發布的2016年軟體漏洞排行榜，看看為什麼谷歌安卓操作系統，成為漏洞「排行第一」的軟體產品。

榜單

首先要聲明：這份榜單的數據是基於CVE 資料庫收錄的漏洞，沒有被收錄和發現的漏洞不予計算！

下圖為單個軟體產品的漏洞排行榜：

(圖片來源於：cvedetails.com)

2016年，谷歌安卓操作系統，以523個漏洞，成為被報告漏洞最多的軟體產品，名列榜單首位。緊隨其後的是：Debian Linux (319) 、Ubuntu Linux (278）。然而，這些開源操作系統許多漏洞，都繼承於第三方程序包。

下圖為軟體廠商漏洞排行榜：

作為軟體廠家來說，Adobe 公司成為「報告漏洞最多」的廠家（1383），微軟名列第二（1325），谷歌名列第三（695），蘋果名列第四（611）。

以下是谷歌近幾年安全漏洞數量以及漏洞類型的示意圖：

2016年，安卓報告的安全漏洞數目，相比往年顯著增長，安全形勢很嚴峻！另外，從統計數據來看，漏洞類型主要是特權獲取、拒絕服務、溢出、代碼執行、信息獲取、內存崩潰。

這一年，安卓發生了很多安全相關的事故。例如，八月份，從Linux kernel 中繼承了TCP偵聽漏洞(該Linux TCP bug的編號為「CVE-2016-5696」，影響當時在用的80%的Android設備（約14億台）。 同月，在量產的安卓設備又中出現了高通「上帝模式」 漏洞。年末的時候，又發現了臭名昭著的「臟牛」漏洞。

聽到這裡，有些人會很驚訝，也有些人會很疑惑，或許還有人會「幸災樂禍」。

不過，我們都不禁要問這樣的結果，是什麼機構統計出來的？

CVE

(圖片來源於：cve.mitre.org)

CVE 英文全稱是「Common Vulnerabilities & Exposures」，即公共漏洞和暴露。CVE 是一個字典，它會給廣泛認同的安全漏洞或者已經暴露出來的安全漏洞，一個公共名稱。

用戶使用這些關鍵字，從各自獨立的漏洞資料庫中共享數據，會變得更容易。並且同時，它也可以為安全工具覆蓋率評估提供一個基線。

在一個漏洞報告中指明的一個漏洞，如果有CVE名稱，你就可以快速地在任何其它CVE 兼容的資料庫中找到相應修補的信息，解決安全問題。

CVE 有以下特點：

漏洞和暴露的名稱

描述每種漏洞或者暴露的一種標準

字典而不是資料庫

不同的資料庫和工具用同一種語言交流。

提供互操作性和更好的安全覆蓋

安全工具和資料庫評估的基礎

公眾可以免費下載和使用

分析

(圖片來源於：谷歌)

那麼，我們是否可以得出結論：

安卓是一款「漏洞百出」的軟體？

或許，大家有不同的看法。雖然，2016年，安卓確實被發現和曝光了諸多漏洞。但是，漏洞的暴露和發現，是解決漏洞的前提，同時也能及時地減小漏洞影響和危害。

所以，軟體漏洞得到曝光和發現，某種層面也具有一定的積極意義，不能簡單的說安卓就是一款「漏洞百出」的軟體。「早發現早治療」，這樣效果會更好。

為了發現這些漏洞，谷歌也是不遺餘力。從2010年起，谷歌就開始推出漏洞（bug）賞金計劃，這幾年發放了幾百萬美元的獎金。

軟體漏洞賞金計劃，可以作為谷歌現有內部安全計劃的一個很好補充。它可以激勵個人和黑客群體，幫助發現谷歌服務存在的漏洞，並且以恰當的形式報告。相反，如果這些漏洞被用於搞破壞，或者銷售給第三方牟利，那麼會產生更加壞的影響。

不僅是谷歌，微軟、蘋果、臉書等科技公司，也都紛紛推出了漏洞賞金計劃。

我很感謝並且樂意傾聽您分享有關看法，歡迎您的留言！

參考資料

【1】http://www.cvedetails.com/top-50-products.php?year=2016