根据Tenable最新研究表明，在过去五年中，披露漏洞的数量增加了183%。
周四发布的《2020年威胁形势回顾》概述了2020年披露或使用的主要漏洞，以及影响今年趋势的趋势，包括漏洞和勒索软件攻击。Tenable的安全响应团队的三名成员编写，这包括研究工程经理Scott Caveza、研究工程师Satnam Narang和研究工程师Rody Quinlan，包括截至2020年12月31日的数据和披露。
研究人员发现了相关研究人员CVE这些令人担忧的数据CVE数量很多，没有修复。2020年，共发现18、358个新的CVE。报告显示，从2015年到2020年，CVE数量以36.6年均增长率为%。
该报告称：“2020年报告18,358个CVE，2019年报告17305份，增加6%，比2015年报告6487份增加183%。在过去的三年里，我们每年都报告CVE这一事实反映了漏洞披露的新常态。”
报告称，未修复的漏洞比零时漏洞严重得多。研究人员在报告中写道：“这种容易使用的漏洞受到国家行为者和普通网络罪犯的青睐。虽然零日漏洞通常用于有针对性的攻击，但攻击者通常使用未修复的漏洞，这构成了更大的威胁。”
Narang告诉SearchSecurity，现在攻击者将使用现有的概念来验证(PoC)代码发现了披露的漏洞，并将其整合到攻击中，而不是试图发现和开发零日漏洞。
他表示：“众所周知，零日漏洞对攻击者来说是非常有价值的，但是开发零日漏洞需要太多的时间和精力来开发自己，攻击者更愿意公开PoC所有这些未修复的系统。”
但公共PoC虽然许多安全团队只依赖通用漏洞评分系统，但它的可用性是决定修复和紧急程度的重要因素(CVSS)。系统得1到10分，其中10分是最关键的。CVE具有CVSS分数，名称和标记。然而，根据该报告，一些严重但未知的漏洞被引人注目的漏洞所掩盖。
该报告称：“流行的漏洞往往会引起媒体和企业领导人的最大关注，给安全专业人员的响应带来压力，即使对企业的威胁很小。我们对2020年备受关注的漏洞的研究表明，并不是每个关键漏洞都有名称和标记。相反，并不是每个带有名称和标记的漏洞都应该被视为至关重要的。”
Narang尽管在某些情况下，CVSS它将提供帮助、背景信息和轻松引用漏洞的方法，但我们应该更多地了解漏洞的细节，而不仅仅是名称和标记。
他说：“每当你看到CVSS 10点，你肯定会知道这是‘我需要放弃正在做的事情，尽快处理漏洞。’但并非每一个值得注意的漏洞都需要同样的关注。我们想举的例子是‘Boothole’，这是一个带有标记和名称的漏洞，它影响它Linux和Windows设备可以绕过安全启动。这是一个有趣的漏洞，但总的来说，这可能不是最紧急的漏洞。”
与此同时，一些关键漏洞受到的关注较少。Narang指出Oracle Web Logic这些漏洞通常被用作Oracle每季度发布一次关键补丁更新。“这些漏洞确实被利用，有时被用作零日漏洞，有时被研究人员发布PoC之后。这些漏洞没有名字，但实际上也很严重。”
新常态
报告显示，漏洞披露正在迅速增加，Tenable研究人员称之为“新常态”。由于更多的研究人员、漏洞猎人和企业在漏洞赏金上花钱，出现了大量的新漏洞。
Narang说：“我认为这是主要因素。漏洞赏金计划和鼓励研究人员发现和披露漏洞发挥了重要作用。越来越多的人参与其中，基本上都在寻找漏洞。”
在Tenable在研究中，漏洞的增加并不是唯一需要注意的趋势。截至10月30日，该报告确定了730起公共数据泄露事件和220亿条曝光记录。此外，超过35%的零日漏洞是基于浏览器，发现18个勒索软件团伙正在运行泄漏站。
研究人员在报告中写道：“勒索软件仍然是当今企业面临的最大威胁。勒索是勒索软件的关键：勒索软件仍然是全球最具破坏性的网络威胁。”
勒索软件攻击加剧了未修复的漏洞和数据泄露。
未修复的漏洞暴露了敏感数据和系统，“为勒索软件攻击者提供绝佳机会”。该报告发现，超过35%的数据泄露事故与勒索软件攻击有关，“这通常会导致巨大的财务损失”。
2019年的漏洞仍然在发挥作用
2020攻击、数据泄露事故和安全事件同时增加远程办公人员，但让Tenable担忧的是2019年发现的漏洞仍然在发挥作用-特别是虚拟专用网络漏洞。
Narang说：“在2020年的所有1.8万个漏洞中，如果你查看2020年的前五个漏洞，其中三个来自2019年，这三个漏洞是你需要关注的，因为它们仍然构成问题。”
这包括CVE-2018-13379：Fortinet FortiOS SSL虚拟专用网Web Portal Information，CVE-2019-11510：Arbitrary File Disclosure in Pulse Connect Secure以及CVE-2019-19781: Citrix Application Delivery Controller (ADC) and Gateway。2019年发布了修复这些漏洞的程序。“
这些漏洞正被非常有决心的国家行为者所利用。我想强调修复这些漏洞的重要性，因为它们是通向你的网络的网关，对我们所有人来说都非常重要。”
2021年第一个月，整体漏洞披露似乎没有改善。Tenable研究人员在周二的博客文章中指出，微软在2021年第一次补丁周二修复了83个CVE，其中10个被评为关键。
博客文章说：“与2020年1月相比，修补CVE数量增加了69%。”