【安恒信息】2024年度漏洞态势分析报告

安恒信息近日发布了《2024年度漏洞态势分析报告》，这份报告全面回顾和总结了2024年的漏洞数据，深入分析了网络漏洞的发展趋势、关键特点及潜在风险点。报告通过对国内外主流漏洞库数据的梳理，揭示了漏洞数量的变化趋势、等级分布情况以及攻击类型，为政府、企业和个人提供了识别和修补网络漏洞的宝贵信息，以减少安全风险，共同构筑网络安全防线。报告中不仅包含了对漏洞产生原因的详细分析，还有对CWE Top25的解读、年度高危漏洞的预警回顾，以及AI安全隐患与未来趋势的分析，提供了丰富的数据和深刻的洞见。

网络安全形势日益严峻，漏洞数量激增
随着网络技术的快速发展，网络安全问题已经成为全球关注的焦点。2024年，安恒信息发布的年度漏洞态势分析报告显示，网络安全威胁形势持续加剧，漏洞数量显著增长。NVD公开披露漏洞数量从2015年的147个增长到2024年的21831个，增长了约150倍。尤其是2020年之后，漏洞数量的增长速度明显加快，年均增长率超过30%。这一趋势表明，系统和软件的复杂性在提升，信息安全领域面临的压力也在不断增大。

中高危漏洞数量增长迅速，网络安全威胁加大
从漏洞等级分布来看，2024年中危和高危漏洞的数量增长尤为显著，分别较2023年增长了40.01%和20.28%。设计错误是最主要的漏洞来源，占比高达60%，这类漏洞往往难以修复，影响深远。输入验证不足、边界条件错误、访问验证问题等也是常见的漏洞源。这些中高危漏洞对网络安全带来的威胁不断加大，及时识别与修复成为安全防护的重中之重。

Linux、Microsoft等主流厂商漏洞数量居前，国产厂商安全问题不容忽视
在厂商分布方面，Linux、Microsoft和Adobe等主流厂商的漏洞数量位居前列，这表明主流操作系统和大型软件仍是漏洞的高发区域。此外，国产厂商方面，消费级产品和企业级网络设备的漏洞数量较多，需要着重关注这类厂商的安全公告发布。通达的办公软件漏洞和紫光展锐的芯片漏洞尽管数量较少，但其影响力不可忽视，尤其是在企业办公场景和物联网应用中的潜在威胁。

CWE Top25漏洞类型变化，新型漏洞逐渐成为重点攻击目标
CWE Top25漏洞类型的变化，反映了网络安全威胁的新趋势。2024年，代码注入、敏感信息泄露等新型漏洞类型排名上升，而传统的缓冲区溢出等漏洞类型排名下降。这表明，攻击技术的发展导致跨站脚本、代码注入、敏感数据泄露等漏洞逐渐成为重点攻击目标。与此同时，现代开发技术的提升在一定程度上抑制了经典漏洞的上升趋势，但新型漏洞不断涌现，安全防护技术仍需不断创新与完善。

远程代码执行和身份验证绕过漏洞需特别重视，攻防演练中高危漏洞频现
2024年，远程代码执行(RCE)漏洞以及命令注入漏洞在漏洞预警数据中占比高达57%，身份验证绕过漏洞占比21%。这些漏洞攻击门槛低且可能导致完全失控。在攻防演练中，SQL注入、远程命令执行和任意文件上传/读取等漏洞类型最为常见且危害性最大。这些漏洞不仅容易被攻击者利用，而且一旦被利用，就可能造成严重的安全威胁。

大模型安全问题凸显，需从多维度进行防护治理
随着人工智能技术的快速发展，大模型的安全问题日益凸显。LLM01至LLM10安全威胁涵盖了从提示词注入、不安全输出处理到模型盗窃等多个方面。LLM内生安全漏洞列表中，多个框架存在着严重的安全问题，尤其是在内存操作和不安全反序列化方面，这些漏洞可能导致远程代码执行或数据泄露等危害。因此，面对日益复杂的安全威胁，需从大模型的供应链安全、数据安全、内容安全、合规体系建设等多维度入手进行防护治理，才能在技术与风险的博弈中实现稳步发展。

这篇文章的灵感来自于《【安恒信息】2024年度漏洞态势分析报告》。除了这份报告，还有一些同类型的报告也非常有价值，推荐阅读，这些报告我们都收录在同名星球，可以自行获取。

以上为节选样张，关注公众号【蝉鸣报告】回复领取PDF完整电子版（无广告）。

【蝉鸣报告】每日更新最新硬核报告，覆盖产业报告、全球化、经济报告、趋势等全领域。