组件漏洞

上周三凌晨两点，组件漏洞某电商平台数据库被拖走。组件漏洞安全团队溯源时发现，组件漏洞漏洞不在业务代码里，组件漏洞而是组件漏洞出在Apache Log4j2的一个老版本组件上——这个组件三年前就被官方标记为高危，但运维觉得“升级太麻烦”。组件漏洞

组件漏洞就是组件漏洞这么讽刺：你写的代码固若金汤，第三方插件却开了后门。组件漏洞我见过太多团队把安全预算砸在防火墙和WAF上，组件漏洞对项目里几百个依赖包视而不见。组件漏洞有个金融客户，组件漏洞生产环境用的组件漏洞Spring框架还停留在2019年的版本，问就是组件漏洞“能跑就别动”。直到被扫出12个已知CVE，组件漏洞才连夜加班升级——结果因为跳版本太多，组件漏洞业务接口直接崩了四小时。

说白了，组件漏洞的本质是信任外包。你以为用了知名开源库就万事大吉，但Log4j、Struts2、Fastjson这些明星项目，哪个没出过惊天大洞？攻击者根本不用猜你的业务逻辑，直接拿公开的PoC脚本扫端口，命中率比你钓鱼邮件高多了。

更麻烦的是传递依赖。你直接引用的组件可能没问题，但它依赖的底层库有漏洞，Maven或npm不会主动提醒你。就像你雇了个靠谱的包工头，结果包工头找的施工队里有个惯偷。去年那个爆火的minimist漏洞，多少项目间接中招？连命令行工具都成了突破口。

有人觉得用商业组件扫描工具就能一劳永逸，太天真了。工具只能扫出已知漏洞，0day呢？供应链投毒呢？上周npm上刚被发现有个伪装成“lodash”的恶意包，下载量几千次才被举报。你依赖的每个组件都可能是定时炸弹，只是还没到引爆时间。

我自己的做法很土：每周手动过一遍依赖清单，看见超过半年没更新的库就标记成红色。同事笑我强迫症，直到有次发现一个图片处理库的漏洞会影响用户头像上传功能——那个库我们用了两年，官方早就发布了修复版。

别误会，我不是劝你全盘放弃开源组件。那不现实，也没必要。但至少得做两件事：一是建立组件清单，搞清每个依赖的用途和版本；二是设个更新节奏，别等出了事故才想起补丁。安全这事，偷懒的代价往往是几倍偿还。

写这段文字的时候，我又看了一眼项目里那个用了三年多的工具包。嗯，今天该升了。

本文地址：http://www.79wt.cn/news/656a0499339.html