OWASP 2025 年度十大安全风险：软件供应链故障

随着备受期待的 2025 年 OWASP 十大安全风险发布，企业需要格外警惕几项新威胁，其中一项就潜伏在榜单前列。软件供应链故障作为新类别首次亮相，虽然并非完全新鲜，但已跃居开放式 Web 应用程序安全项目 (OWASP) 每四年发布一次的 Web 应用安全最严重风险榜单的第三位。如果企业尚未重视，现在必须将其视为重中之重。

软件供应链故障源于 2021 年榜单中的 “易受攻击和过时的组件”这一类别，现在涵盖了软件生态系统中依赖项、构建系统和分发基础设施等更广泛的受损范围。鉴于 2019 年 SolarWinds、今年早些时候的 Bybit 黑客攻击，以及目前仍在持续的 Shai-Hulud 活动（一种在暴露的开发环境中造成严重破坏的、具有自我复制能力的 npm 蠕虫）等高调供应链攻击所造成的损害，它出现在榜单上并不令人意外。

OWASP 十大安全风险榜单通常保持相对稳定，这符合其四年一更的周期，尽管期间会有所更新。榜单内部通常会有一些变动——例如，长期在榜的“注入”从第 3 位降至第 5 位，“不安全设计”下降两位至第 6 位，而“安全配置错误”则从第 5 位跃升至第 2 位。“失效的访问控制”继续稳居榜首。2025 年版有两个新条目，即前述的“软件供应链故障”和排名第 10 位的“异常情况处理不当”。在此，我们将深入探讨这一新的供应链漏洞条目。

[观看视频]

漏洞可能出现在几乎任何地方

“软件供应链故障”在榜单中是一个比较特殊的类别：在 10 个条目中，它在 OWASP 研究数据中的出现频率最低，但该类别中五个常见弱点枚举 (CWE) 所导致的平均漏洞利用率和影响评分却是最高的。OWASP 表示，怀疑该类别出现频率较低的原因在于目前对其进行测试存在挑战，这种情况未来可能会有所改善。尽管如此，受访者仍一致将“软件供应链故障”列为首要关注点。

大多数 供应链漏洞源于商业活动的互联性，涉及上游和下游合作伙伴及第三方。每一次交互都涉及软件，其组件（即依赖项或库）可能处于未受保护的状态。如果企业未能跟踪其自身组件（客户端、服务器端或嵌套组件）的所有版本，以及传递依赖项（来自其他库），以确保它们没有漏洞、不受支持或已过时，那么企业就可能面临风险。组件通常拥有与应用程序相同的权限，因此受损的组件（包括来自第三方或开源存储库的组件）可能会产生深远的影响。及时的补丁和更新至关重要——即使是定期的月度或季度补丁计划，也可能让企业在数天或数月内处于暴露状态。

同样，如果您没有跟踪集成开发环境 (IDE) 或代码存储库、镜像和库存储库或供应链其他部分的变更，缺乏供应链变更管理流程也会产生漏洞。组织需要通过应用访问控制和最小权限策略来加固供应链，确保没有任何个人可以在未经监督的情况下创建代码并将其部署到生产环境，并确保没有人可以从不受信任的来源下载组件。

供应链攻击的形式多种多样。臭名昭著的 SolarWinds 攻击始于俄罗斯攻击者向该公司流行的网络管理软件更新中注入恶意软件，影响了约 18,000 名客户。虽然实际受影响的企业数量接近 100 家，但名单中包括大型企业和政府机构。价值 15 亿美元的 Bybit 黑客攻击被追溯到朝鲜，涉及受损的加密货币应用程序。最近的 Glass Worm 供应链攻击涉及一种感染了 Open VSX Marketplace 的隐形、自我复制代码。

预防供应链漏洞利用

由于供应链攻击涉及系统的相互依赖性，防御它们需要一种全方位的方案。OWASP 提供了预防攻击的建议，包括建立补丁管理流程以实现：

• 了解所有软件的软件物料清单 (SBOM) 并进行集中管理。最好在构建期间而非之后生成 SBOM，使用 SPDX 或 CycloneDX 等标准格式，并为每个版本发布至少一个机器可读的 SBOM。
• 跟踪所有依赖项，包括传递依赖项，删除未使用的依赖项以及不必要的特性、组件、文件和文档。
• 使用诸如 OWASP Dependency Check 或 retire.js 等工具，持续盘点客户端和服务器端组件及其依赖项。
• 及时了解漏洞，持续监控诸如 通用漏洞披露 (CVE) 网站和 国家漏洞数据库 (NVD) 等来源，并订阅与您所用组件相关的安全漏洞电子邮件提醒。
• 仅使用通过安全链接从受信任来源获取的组件。例如，值得信赖的提供商愿意与研究人员合作，披露研究人员在组件中发现的 CVE。
• 慎重选择要使用的依赖项版本，仅在必要时进行升级。与那些已在 NVD 等知名来源发布过漏洞的第三方库合作。
• 监控未维护或不受支持的库和组件。如果无法进行补丁修复，请考虑部署虚拟补丁来监控、检测或防御已发现的问题。
• 定期更新开发工具。
• 将 CI/CD 流水线中的组件视为此过程的一部分，在记录变更的同时对其进行加固和监控。

变更管理或跟踪流程也应适用于您的 CI/CD 设置、代码存储库、沙箱、集成开发环境 (IDE)、SBOM 工具、创建的制品、日志系统和日志、第三方集成（如 SaaS）、制品存储库和容器注册表。您还需要加固从开发人员工作站到 CI/CD 流水线的各个系统。请务必启用多因素身份验证，同时执行严格的身份和访问管理策略。

在高度互联的世界中，防范软件供应链故障是一项多方面且持续的任务。组织必须为其应用程序和组件的整个生命周期采取强有力的防御措施，以抵御这种快速演变的现代威胁。

致 SCW Trust Score™ 用户：

随着我们更新学习平台内容以符合 OWASP 2025 年度十大安全风险标准，您可能会观察到全栈开发人员的信任评分 (Trust Score) 有细微调整。如有任何疑问或需要支持，请联系您的客户成功经理。