中科天齐软件源代码安全检测中心
目前，在互联网上有近1400万个基于Linux的系统，这些系统成为一系列网络攻击的目标，这些攻击可能会导致部署恶意Web shell、加密挖矿、勒索软件和其他木马部署。
这是从Trend Micro发布的一份深入研究Linux威胁报告中得出，该报告基于从蜜罐、传感器和匿名遥测收集的数据，详细列出了2021年上半年影响Linux操作系统的主要威胁和漏洞。
该公司检测到近1500万针对linux云环境的恶意软件事件，发现coin miner和勒索软件在所有恶意软件中占54%，web shell占29%。
此外，通过分析同一时间段内来自10万个Linux主机的超过5000万个事件报告，研究人员发现了15个不同的安全漏洞，已知这些漏洞正在被广泛利用或已经得到了概念验证(PoC) -
CVE-2017-5638(CVSS 评分：10.0)——Apache Struts 2 远程代码执行 (RCE) 漏洞
CVE-2017-9805(CVSS 评分：8.1)——Apache Struts 2 REST 插件 XStream RCE 漏洞
CVE-2018-7600(CVSS 评分：9.8)——Drupal Core RCE 漏洞
CVE-2020-14750(CVSS 评分：9.8)——Oracle WebLogic Server RCE 漏洞
CVE-2020-25213(CVSS 评分：10.0)——WordPress 文件管理器(wp-file-manager)插件 RCE 漏洞
CVE-2020-17496(CVSS 分数：9.8)- vBulletin 'subwidgetConfig' 未经身份验证的RCE 漏洞
CVE-2020-11651(CVSS 评分：9.8)- SaltStack Salt 授权弱点漏洞
CVE-2017-12611(CVSS 评分：9.8)——Apache Struts OGNL表达式RCE漏洞
CVE-2017-7657(CVSS 评分：9.8)——Eclipse Jetty 块长度解析整数溢出漏洞
CVE-2021-29441 (CVSS score: 9.8) - 阿里巴巴 Nacos AuthFilter认证绕过漏洞
CVE-2020-14179(CVSS 评分：5.3)——Atlassian Jira 信息泄露漏洞
CVE-2013-4547(CVSS 评分：8.0)——Nginx 制作的URI字符串处理访问限制绕过漏洞
CVE-2019-0230(CVSS 评分：9.8)——Apache Struts 2 RCE漏洞
CVE-2018-11776(CVSS 评分：8.1)——Apache Struts OGNL 表达式RCE漏洞
CVE-2020-7961(CVSS 评分：9.8)——Liferay Portal 不可信反序列化漏洞
更麻烦的是，Docker Hub官方存储库中的15个最常用的Docker镜像已被发现存在数百个漏洞，跨越python、node、wordpress、golang、nginx、postgres、influxdb、httpd、mysql、debian、memcached、redis 、mongo、centos 和 rabbitmq。这突出了需要在开发管道的每个阶段保护容器免受各种潜在威胁。
研究人员总结道：“用户和软件开发企业应始终采用谨慎安全的解决方案，随着恶意软件和犯罪分子的攻击手段可以轻易绕过安全防护层及外部设备，更需要加强软件自身安全性以抵御网络攻击。尤其目前在开源社区等平台存在越来越多的安全漏洞，在开发过程中极易引入到软件产品当中，因此建议在软件开发阶段使用安全可信的静态代码检测工具查找代码缺陷及运行时漏洞，及时修正不但可以加强软件安全性，也能将后期维护安全问题的成本降至最低。另外，安全人员也应及时了解最新的漏洞利用、黑客技术、恶意软件等。Wukong(悟空)静态代码检测工具，从源码开始，为您的软件安全保驾护航!
参读链接：
https://www.woocoom.com/b021.html?id=8ef0d5001a0b4f6f8934126641751abf
https://thehackernews.com/2021/08/top-15-vulnerabilities-attackers.html
