1、2023网络空间安全漏洞态势分析研究报告1 / 34可信网络 安全世界目录2023 年网络空间安全漏洞态势分析研究报告1第一章 前言3第二章 国家漏洞库概况42.1 漏洞威胁等级统计52.2 漏洞影响对象类型统计62.3 漏洞产生原因统计72.4 漏洞引发威胁统计82.5 行业漏洞收录统计92.6 漏洞修复情况统计102.7 漏洞增长趋势11第三章 在野利用漏洞概况123.1 漏洞影响厂商分布情况133.4 漏洞影响平台产品分类143.5 漏洞类型统计概况153.6 EXP 公开情况统计18第四章 漏洞预警统计情况194.1 漏洞厂商情况194.2 漏洞威胁情况204.3 年度 TOP10 高危漏洞214.4 漏洞预警 TOP10 漏洞回顾23第五章 总结295.1 安全防护建议305.2 2024 年漏洞态势展望322 / 34可信网络 安全世界第一章 前言随着信息技术的迅猛发展和数字化转型的深入推进，网络空间已经成为人们生产、生 活、交流不可或缺的重要组成部分。然而，与此同时，网络安全威胁也呈现出前所未有的复杂性和严峻性。安全漏洞，作为网络安全领域的核心问题之一，在这一年中频繁曝光
2、，给全球各地的组织和个人带来了巨大挑战。2023 年，网络空间安全漏洞态势呈现出总体数量降低，但影响范围扩大、利用难度降低的趋势。从传统的系统和应用漏洞，到新兴技术如云计算、物联网、车联网、人工智能等领域的安全隐患，各种类型的安全漏洞层出不穷。这些漏洞不仅威胁着网络系统的正常运行和数据安全，更可能对国家安全、社会稳定和经济发展产生深远影响。近年来，我们目睹了多起重大的网络安全事件。例如，某知名软件公司的操作系统被 发现存在严重的远程代码执行漏洞，攻击者利用该漏洞成功入侵了数百万台计算机，窃取了大量敏感信息。又如，某大型云服务提供商因为配置错误导致客户数据泄露，引发了公众对云安全的广泛关注。这些事件再次提醒我们，网络安全无小事，任何一个看似微小的漏洞都可能成为攻击者的突破口。此外，随着物联网设备的普及和智能化进程的加速推进，物联网安全也成为了一个不容忽视的问题。智能家居设备、智能城市基础设施等物联网设备频繁被曝出存在安全漏洞的情况。这些设备一旦被攻击者控制，不仅可能影响用户的正常生活和工作秩序还可能对用户的隐私和安全造成威胁甚至可能被用于发动更大规模的网络攻击。作为中国领先的网络安全、大
3、数据与云服务提供商，天融信始终以捍卫国家网络空间安全为己任，创新超越，致力于成为民族安全产业的领导者、领先安全技术的创造者和数字时代安全的赋能者。为了更好地了解网络空间安全漏洞的发展趋势，并采取适当的措施应对漏洞威胁，特发布2023 年网络空间安全漏洞态势分析研究报告。本报告旨在全面梳理和分析 2023 年网络空间安全漏洞的态势和特点并结合实例剖析典型安全事件的成因和影响以期为政府、企业和个人提供有针对性的防护建议和措施建议共同应对网络安全挑战维护网络空间的安全与稳定。本报告重点内容共分两个部分，第一部分为 2023 年漏洞趋势，通过对国家漏洞库及前100 个在野利用漏洞进行综合分析而产生。据 CNVD 公开数据显示，2022 年共披露漏洞天融信阿尔法实验室版权所有天融信 保留一切权利4 / 3423900 枚，2023 年共披露漏洞 18635 枚，同比降低 22.03%。这可能表明，在过去一年里， 安全运维人员加强了对系统安全的管理，降低了漏洞数量。其中，低危漏洞占 5.85%，中危漏洞占 46.93%，高危漏洞占 47.22%。相对于低危漏洞，中危和高危漏洞的数量要多得多，这也需
4、要安全运维人员提高警惕，加强对中高危漏洞的控制。第二部分为天融信 2023 年度高危漏洞预警情况概述,在 2023 年整个年度中，天融信阿尔法实验室监测发现了上万条漏洞情报，经过情报人员快速研判分析，第一时间预警并处理了多起突发高危漏洞，并根据漏洞的影响范围、影响对象及产生威胁的因素，挑出了排名前十的漏洞。2023 年度重点漏洞含 Microsoft Word 远程代码执行漏洞、Apache RocketMQ 命令注入漏洞、Atlassian Confluence 远程代码执行漏洞、Linux Kernel 权限提升漏洞等。天融信第一时间监测到漏洞后，进行了漏洞复现和应急响应处理，并给出临时解决方案，保障了客户网络空间安全。企业安全部门应该提升网络安全威胁感知能力，建立有效的监测预警体系，并制定应 急指挥计划，加强对威胁的发现、监测、预警和应对能力。以便在网络攻击发生时快速作出应对。此外，还需要强化攻击溯源能力，重点建设辅助攻击溯源相关能力（如授权控制、流量记录），使得对网络攻击的溯源工作更加轻松，以便有效地防御和应对来自外部的网络攻击。天融信阿尔法实验室秉承攻防一体的理念，以保卫国家
5、网络空间安全为己任，在未来的工作中将持续针对网络空间漏洞进行实时侦测，并灵活应对和防护突发漏洞的产生，攻防相结合，为国家及客户安全进行全方位赋能。第二章 国家漏洞库概况漏洞的统计与评判是评估网络安全情况的一个重要指标，天融信阿尔法实验室参考国家漏洞数据库数据,对 2023 年披露的漏洞进行了全方位的统计分析,下图是近十年漏洞数量走势图，从这个数据中可以看出，近十年来，CNVD 披露的漏洞数量总体呈现上升趋势。尤其是在 2018 年至 2021 年之间，漏洞数量大幅增加。2023 年来看，漏洞数量出现了持续下降。这种变化可能是网络安全生态系统中各种因素交互作用的结果，可能是由于新的安全技术的采用，也可能是由于黑客行为的调整。这种波动性提示着网络安全领域的不断演可信网络 安全世界化和对抗的复杂性。与此同时，我们也不能忽视网络安全仍然面临着多样化和不断变化的威胁，因此需要保持高度警惕，不断创新和完善网络安全防护措施。漏洞数量趋势30000265582500023900202482000018635154791607915000130641150891241030110000816850000
6、20132014201520162017201820192020202120222023图 1 近十年漏洞数量走势图(数据来自于 CNVD)2.1 漏洞威胁等级统计根据 2023 年 1-12 月漏洞引发威胁严重程度统计，其中低危漏洞占 5.85%，中危漏洞占 46.93%，高危漏洞占 47.22%。34 / 342023年收录漏洞威胁级别统计图低危5.85%中危46.93%高危47.22%0.00%10.00%20.00%30.00%40.00%50.00%图 2 2023 年收录漏洞按威胁级别统计(数据来自于CNVD)分析 2022 年到 2023 年漏洞威胁统计的变化，低危漏洞比例的减少虽然降低了一些噪音，但从实际威胁角度来看确实影响较小，因为这些漏洞的潜在威胁相对较低。然而，中危和高危漏洞比例的上升明显突显了网络安全面临的严峻挑战。中高危漏洞往往具有潜在的严重后果，可能导致数据泄露、系统瘫痪或其他更为严重的安全问题。这趋势提示了安全专业人员需要更加紧密地关注和应对中高危漏洞，采取针对性的安全措施和防护策略，以保障组织在面对复杂多变的网络威胁时的稳健性。2.2 漏洞影响对象类型统
7、计根据 2023 年 1-12 月漏洞引发威胁统计，受影响的对象大致可分为八类：分别是 WEB应用、应用程序、网络设备、操作系统、智能设备、工业控制、安全产品、数据库、车联网系统。其中 WEB 应用漏洞 52.6%，应用程序漏洞 22.8%，网络设备漏洞 14.0%，操作系统漏洞 3.3%，智能设备漏洞 3.2%，工业控制系统漏洞 1.7%，安全产品漏洞 1.5%，数据库系统漏洞 0.7%，车联网系统漏洞 0.2%。2023年漏洞影响对象类型统计图60.00%50.00%40.00%30.00%20.00%10.00%0.00%图 3 2023 年漏洞影响对象类型统计(数据来自于 CNVD)车联网系统漏洞在今年的统计中首次显现，这反映了新能源汽车的崛起对车联网的推 动作用。随着新能源技术的迅速发展，汽车制造商在车辆中集成了更多的智能化和联网功能，以提高能源效率、驾驶体验和车辆管理。然而，这也为安全威胁带来了新的挑战，需要对车联网系统的安全性进行更深入的关注和加强。这一趋势突显了新能源技术不仅在环保和科技创新方面发挥着积极作用，同时也对车辆的数字化和联网化提出了新的安全挑战。数字化持续地
8、赋能汽车产业，汽车已经从传统的出行工具逐渐演变成了新一代的移动数据中心和互联网服务创新的重要平台，智能网联汽车已成为汽车产业转型升级、交通方式变革、智慧城市建设的重要方向。未来，天融信将持续深耕车联网安全领域，全力构建智能网联汽车产业安全生态体系，为建设交通强国贡献企业力量。2.3 漏洞产生原因统计根据 2023 年 1-12 月漏洞产生原因的统计，设计错误导致的漏洞占比 67.6% ，屈居首位，紧跟其后的是输入验证错误导致的漏洞占比 28.5%，位居第二，接着是边界条件错误导致的漏洞占比 2.8%，位居第三。后面的访问验证错误、其他错误、竞争错误、意外情况处理错误、配置错误分别占比 0.9%、 0.2%、0.1%、0.01%、0.004%、0.004%。2023年漏洞产生原因统计80.00%70.00%60.00%50.00%40.00%30.00%20.00%10.00%0.00%图 4 2023 年漏洞产生原因统计（数据来自于 CNVD）漏洞的产生原因统计表明，设计错误在导致漏洞的主要原因中居于首位，而这可能反 映了在软件开发领域的一种潜在困境。尽管安全开发实践的普及已经在提高，
9、但设计阶段仍然是漏洞频发的根源，这或许意味着在项目早期阶段对于安全性的关注度需要更为强化。此外，输入验证错误紧随其后，揭示了在对用户输入的处理上，一些常见的安全措施可能尚未全面覆盖。这强调了在用户交互方面需要更加深入的安全审查和防范措施。边界条件错误虽然相对较低，但其出现的频率依然显著，提示着在处理边缘情况时可能存在的漏洞隐患。因此，在开发过程中更加细致入微地考虑输入范围和可能的极端情况是至关重要的。最后，漏洞的根本原因通常与软件开发者对于安全性的认知和培训水平有关，强调了加强安全教育和培训的迫切性，以提高整体开发团队对于潜在风险的敏感性。2.4 漏洞引发威胁统计根据 2023 年 1-12 月漏洞引发威胁统计，未授权的信息泄露占比 54.9%居首位，管理员访问权限获取占比 27.7%位居第二，拒绝服务占比 10.0%位居第三，后面的未授权的信息获取、其他、普通用户权限获取。占比分别是 7.1%、0.2%、0.1%。2023年漏洞引发威胁统计60.00%50.00%40.00%30.00%20.00%10.00%0.00%图 5 2023 年漏洞引发威胁统计（数据来自于CNVD）在漏洞引发的威胁统计中，未授权的信息泄露呈现持续增长的趋势，凸显了数字时代企业面临的不断演变的风险。这不仅仅是数据泄露的问题，更是对组织信任和声誉的重大挑战。管理员访问权限获取和拒绝服务攻击的占比虽然相对稳定，但未授权信息泄露的激增表明，
《2023网络空间安全漏洞态势分析研究报告》由会员职**分享，可在线阅读，更多相关《2023网络空间安全漏洞态势分析研究报告》请在金锄头文库上搜索。
