慎防惡意或有保安漏洞的第三方開源軟件

發佈日期: 2021年08月04日 3510 觀看次數

第三方開源軟件（包括函式庫、套件和容器映像檔等）應用迅速增長，改變了軟件開發過程。除自家開發的程式碼外，現今大多數應用程式亦會內嵌不同功能的第三方軟件使用。公共程式碼庫成為一個讓世界各地的開發人員使用、託管及共享程式碼的地方。雖然使用第三方軟件確實提高了開發效率和質量，但惡意和有保安漏洞的第三方軟件也同時為應用程式帶來遭受軟件供應鏈攻擊的潛在風險。

Synopsys Cybersecurity Research Center 今年4月發表的一份報告指出超過80%的程式碼庫使用有保安漏洞的開源軟件^[1]，以及黑客將惡意程式碼或容器映像檔上傳到公共存儲庫的趨勢有所增加。相信隨著第三方開源軟件的普及，軟件開發和維護過程將會成為黑客的攻擊目標。

惡意開源程式碼庫和容器鏡像

除了透過現存的保安漏洞入侵外，黑客亦會試圖在軟件開發階段時入侵，為軟件“製造”保安漏洞，其中一種方法便是將惡意程式碼或影像上傳至軟件套件管理器及容器存儲庫，過去一年曾出現的例子包括：

2021 年 6 月，多個Python 編程語言的軟件套件管理器Python Package Index（PyPI）被發現含有惡意挖礦程式碼 ^[2]
自 2020 年 8 月開始，多個在 Node Package Manager (npm) 內的JavaScript 套件被發現於開發者電腦裡安裝遠程訪問木馬 (RAT) 或開啟反向指令介面工具(Reverse shell) ^[3]
2021 年 3 月，在Docker Hub 中發現有至少30 個惡意影像檔（共有 2千萬次下載）用來操作加密挖掘惡意軟件，估計獲利約20萬美元^[4]。

雖然上述事件中的惡意程式碼和影像檔被檢測到後已立即被移除，但是如果開發人員已不小心下載使用，將會帶來重大的保安風險。

黑客用來欺騙開發人員下載惡意軟件的手法有2種，分別是透過偽冒名稱和混淆軟件套件管理器

1. 偽冒名稱

利用近似的名稱來偽裝成官方套件，例如 PyPI 中的 “Jeilyfish”（偽冒“Jellyfish”）和 npm 中的electorn（偽冒”electron”）。這種手法是基於開發人員有時會打錯英文串法，或直接複製黑客提供的假名稱使用時，誤將惡意程式碼加到開發環境中。

2. 混淆軟件套件管理器

除公共存儲庫外，開發人員有時會設立私有存儲庫來存放自家開發的程式碼。然而，黑客可以利用軟件套件管理器默認操作方式的漏洞，將惡意程式碼的名稱改為與私有存儲庫內的程式碼的名稱相同，但將版本調高，這樣軟件套件管理器便會因惡意程式碼的版本較高而下載使用。

未修補的保安漏洞

根據開放網路軟件安全計畫 (OWASP)，使用具有已知漏洞的軟件是 10 大網絡應用程序保安風險之一 ^[5]。漏洞包括跨網站指令碼、執行程式碼、阻斷服務、資料洩露、SQL 注入和原型污染攻擊。在2019 年，著名的 npm函式庫 Lodash 被發現存在嚴重的原型污染漏洞，影響了數百萬個專案及大型企業 ^[6]。

大多數大型開源程式碼的開發人員都會積極修復保安漏洞。然而，使用該程式碼的其他開發人員通常需要額外的時間來測試，確保不會影響自家系統的穩定性後，方才安裝。但如若開發人員根本不知道所有使用中的軟件版本，甚至哪一個版本存在漏洞時，問題會變得更嚴重，特別是對於使用許多開源函式庫和容器影像檔組合的大型系統。

未能及時更新所使用的第三方軟件不僅會增加保安風險，還會使未來的更新更加困難。尤其是當越來越多的應用程式使用同一個有漏洞的第三方軟件版本來建立時，越遲更新只會增加測試的時間及難度。