四天内公开16起开发语言漏洞
服务共用开发引擎……一个缺陷引发连锁风险
人工智能挖出陈年缺陷……关键在于迅速发布补丁
继PHP之后，Java、Python等主要开发语言也接连曝出安全漏洞，软件安全性引发的担忧不断加剧。人工智能正在加快发现开发生态中潜藏漏洞的步伐。
26日，韩国互联网振兴院发布公告，建议针对PHP的第三个漏洞采取临时措施。该漏洞是在维持用户登录状态等信息的会话处理过程中出现的远程代码执行漏洞。攻击者可利用会话信息处理过程中记录文件上传进度的功能，执行恶意命令。此前，被称为“PHP2Shell”的两处漏洞修复版本发布后，又有新漏洞被披露，目前尚未发布安全更新。
21日PHP漏洞公开后，Java、Node.js、GitLab、Laravel等开发环境也陆续发布了漏洞应对建议。截至24日的四天内，主要开发语言领域正式公开并修复的漏洞共计16个，其中10个涉及JavaScript运行环境Node.js。被称为“Node2shell”的缺陷出现在解压缩工具中。攻击者可能利用经过篡改的压缩数据，在解压读取过程中导致程序停止运行或信息泄露。
为开发者存储源代码并开展协作的GitLab也被列入安全警告对象。GitLab修复了一处缺陷：攻击者可利用处理特定字符模式时出现的错误，在未登录的情况下执行恶意命令。根据通用漏洞评分系统，该漏洞的风险等级达到满分10分，危险性极高。
由于通用组件中的缺陷可能同时影响多项服务，运营方如今不仅要检查自身代码，还必须检查运行程序的运行环境、外部库以及开发工具。
人工智能安全分析能力的提升，被视为漏洞发现速度加快的原因之一。人工智能被用于从海量代码中找出可疑部分，并验证其是否可能演变为实际攻击，因此一些以往未被察觉的风险得以浮现。美国非营利组织电子前哨基金会表示，自1988年以来，国家漏洞数据库记录的通用漏洞与暴露约有40万项，本月发现的新项目已达1.3万项。该组织预计，截至年底报告的漏洞数量将超过累计总数的四分之一。
鉴于长期未被发现的缺陷接连浮出水面，有观点指出，应检查并改进既有代码中累积的安全问题，以化解“技术债务”。高丽大学信息安全研究生院教授Kim Seungju表示：“在发现并分析漏洞、检查其他运行引擎是否存在类似问题时，往往会发现更多缺陷。”他还称：“开发公司需要编写更新代码并迅速提供补丁。”
版权所有 © 阿视亚经济。未经许可不得转载，禁止用于AI训练及使用。
