工业和信息化部电子第五研究所：2024上半年网络安全漏洞态势报告.pdf

摘要

_r修预20投复计24年年更入底温多收精洞录发漏现力洞禾哦。数将露突速破＿＿度＿再万次个加悦这示预2024若年今上年半的年网披络露安混全洞工作205不48能放个松，呇与,1易23年斋同要期对相安比全增漏长洞的托i』

|2024年全球漏洞利用的产品分布方面，操作系统和浏览器Oday漏洞数呈品多，其中浏览器Oday漏洞呈整

体占比呈下降趋势；第三方组件的Oday漏洞利用呈呈上升趋势；针对移动设备的Oday漏洞利用手段升级，

其中接近so％被用千执行间谍活动。

__2024年典型攻防场景中，以利用逻辑类Oday诵洞和传输加密类Oday；届洞为主，攻击者以此来隐藏攻击特征，

比以往攻击更具隐蔽性。其中逻辑类漏洞主要包括业务接口混洞、认证绕过、账密找回、越权访问等类型。

2024年典型攻防场祭中，漏洞利用方式从战前储备Oday涌洞逐渐向战前储备和后期新挖掘Oday为主的方

式转变。这一变化与攻防活动周期拉长有较大关，也与目标范国逐年扩大存在一定关。

||2024年上半年，披露开沥软件温洞3618个，忘危及以上占比超40%。今年仍然孟要重点关注由开源软件漏

洞引发的软件供应链安全风险。我国应加快开源软件谝洞治理步伐，抓住市场、人才、技术发展机遇与国际

化合作趋势，建立“政产学研用“一体化协同共治体，鼓励开源界先试先行。

2024年人工智能已成熟落地应用于未知漏洞猎捕和漏洞优先级排序中。在未知漏洞猪捕方面，基千相似度笫

法和AlAgent模式Oday漏洞归因定性，可以实现自动化Oday猪捕。在漏洞优先级排序(VPT)上，人工智

能结合SSVC决策树模型，能够快速推理决策出荒要优先处罢的涓洞。

ooo

CONTENTS

目录

1引言

1摘要

1安全漏洞总体态势01

·涌洞公开披器恓况01

·漏洞利用情况02

•Oday混洞利用情况05

I攻防场景漏洞利用趋势07

·攻防场贵下的Oday利用情况07

·攻防场贵下的Nday利用悄况09

·攻防场费下的漏洞利用路径11

1开源软件漏洞态势12

·开源软件漏洞威胁态势