奇安信CERT漏洞态势及各类型占比情况如何？

围绕漏洞监测、漏洞分析与研判、 漏洞风险评估与处置等方面，对 2022 年全年发生的重大安全事件和有现实威胁的关键漏洞进行了盘点 和分析。

1.年度漏洞处置情况

2022年奇安信CERT的漏洞库新增漏洞信息[1]26,128条[2]（24,039条有效漏洞信息在NOX安全监测平台上 显示[3]），经NOX安全监测平台筛选后有25,301条敏感信息[4]触发人工研判，其中20,667条漏洞信息达 到奇安信CERT的处置标准对其进行初步研判，并对初步研判后较为重要的1,914条漏洞信息进行深入研 判。相较于2021年，初步研判的漏洞环比增长873.02%[5]，深入研判的漏洞环比增长1.27%。

值得注意的是，2022年新增的24,039条漏洞信息中，有402个漏洞在NVD上没有相应的CVE编号，未被 国外漏洞库收录，为国产软件漏洞。此类漏洞具有较高威胁，如果被国家级的 对手利用将导致非常严重的后果。

2.漏洞风险等级占比情况

奇安信CERT结合CVSS评价标准以及漏洞产生的实际影响将漏洞定级分为极危、高危、中危、低危四种 等级，用来评价漏洞不同的影响程度。其中，低危漏洞占比2.00%，此类漏洞利用较为复杂或对可用性、机密性、完整性造成的影响较低；中 危漏洞占比40.08%，此类漏洞产生的影响介于高危漏洞与低危漏洞之间，可能需要一些复杂的配置或 对漏洞成功利用的要求较高；高危漏洞占比57.72%，此类漏洞极大可能造成较严重的影响或攻击成本 较低；极危漏洞占比0.20%，此类漏洞无需复杂的技术能力就可以利用，并且对机密性、完整性和可用 性的影响极高。

3.漏洞威胁类型占比情况

将2022年度新增的24,039条漏洞信息根据漏洞威胁类型进行分类总结。其中漏洞数量占比最高的前十种类型分别为：代码执行、信息泄露、拒绝服务、身份认证绕过、权限提升、 安全特性绕过、命令执行、错误的访问控制、跨站脚本攻击。这些类型的漏洞通常很容易被发现、利用， 其中代码执行、权限提升等类型的漏洞可以让攻击者完全接管系统、窃取数据或阻止应用程序运行，具 有很高的危险性，是安全从业人员的重点关注对象。

4.漏洞影响厂商占比情况

将2022年度新增的24,039条漏洞信息根据漏洞影响厂商进行分类总结。其中漏洞数量占比最高的前十家厂商为：Microsoft、Apple、Oracle、Google、开放源代码项目、 Cisco、Adobe、Linux、Apache、VMware。Microsoft、Apple、Oracle 这类商业软件漏洞多发，且因 为其有节奏的发布安全补丁，为漏洞处置的关注重点。开源软件和应用在企业中越来越多的使用，关注 度逐渐攀升。部署在网络边界的网络设备在攻防行动中占据了重要地位，因而获得了安全研究员更为重 点的关注。

5.漏洞标签占比情况

为了更加有效的管控漏洞导致的风险，奇安信CERT建立了全面的多维漏洞信息整合及属性标定机制， 使用“关键漏洞”、“在野利用”、“POC公开”、“影响万/十万/百万/千万/亿级”、“Botnet类 型”、“攻击者名称”、“漏洞别名”等标签标定漏洞相关的应用系统部署量、是否已经有了公开的技 术细节、Exploit工具、概念验证代码（PoC）、是否已经有了野外利用、是否已经被已知的漏洞利用攻 击包或大型的Botnet集成作为获取对系统控制途径等属性。

其中Microsoft Windows 支持诊断工具远程代码执行漏洞(CVE-2022-30190)拥有的标签数量最多为19 个。其次是Atlassian Confluence Server 及 Data Center 远程代码执行漏洞(CVE-2022-26134) 拥有18个标签，。

漏洞拥有的标签越多，与其关联的攻击团伙或者恶意家族就越多，说明漏洞正在被积极利用。从侧面印 证了这个漏洞具有较高的可达性和危害性，这样的漏洞已经不仅仅是潜在的威胁，而是具有了较高的现 时威胁，漏洞修补时应该放在最高的优先级。

6.关键漏洞占比情况

2022年奇安信CERT漏洞库新增的24,039条漏洞信息中监测到有公开Exploit/PoC漏洞数量为721个、有 在野利用漏洞数量为238个、0day漏洞数量为41个、APT相关漏洞数量为33个。奇安信CERT将0day、 APT相关、发现在野利用、存在公开Exploit/PoC，且漏洞关联软件影响面较大的漏洞定义为“关键漏 洞”。此类漏洞利用代码已在互联网上被公开，或者已经发现在野攻击利用，并且漏洞关联产品具有较 大的影响面，因此威胁程度非常高，需要重点关注。2022年共标记关键漏洞960个，仅占新增漏洞总量 的3.99%，由此可见，基于威胁情报的漏洞处理优先级排序对于威胁的消除将起到事半功倍的效果。

此外，发现在野利用的238个漏洞中有88个漏洞有公开Exploit，还有近三分之二的在野利用漏洞没有监 测到公开的Exploit/PoC，处于私有状态，仅被某些APT组织或者个人使用。

7.漏洞补丁占比情况

2022年奇安信CERT漏洞库新增的24,039个漏洞中，共有24,027漏洞监测到了官方发布的补丁（已收录 在NOX安全监测平台漏洞补丁库中），占新增漏洞总量的99.95%。2022年奇安信CERT漏洞库新增的 960个关键漏洞中，共有960个漏洞监测到官方发布了补丁，占新增关键漏洞总量的100%。

根据奇安信CERT漏洞研判情况，从漏洞被公开时间到监测到官方发布漏洞补丁的间隔时间（奇安信 CERT将漏洞公开后、官方发布漏洞补丁前的这段时间称为“漏洞修复窗口期”）。 有65.26%左右的漏洞在被公开后6至14天内官方才发布补丁，这一期间漏洞被成功利用的可能性极大， 危害程度最高，企业尤其应该注意这一期间的漏洞管理。