BlackDuck2025年度开源安全和风险分析报告32页_2mb

2025年度《开源安全和风险分析》报告总结

报告指出开源软件（OSS）在应用开发中普遍存在，但其潜在风险需引起重视。通过BlackDuck审计数据，分析显示97%的商业代码库包含开源代码，每个应用平均含911个OSS组件。过去四年，普通应用中的开源文件数量增加两倍，主要源于传递性依赖项的广泛使用。值得关注的是，64%的开源组件属于传递性依赖项，手动跟踪困难，必须依赖自动化工具。

安全风险方面，81%的被扫描代码库存在高风险或重大漏洞，其中近一半由传递性依赖项引发。jQuery、jackson-databind和SpringFramework是最常见的漏洞来源。90%的代码库包含使用超过四年未维护的过时组件，此类组件显著增加攻击面且可能导致兼容性问题。报告强调，维护最新版本的开源组件是降低风险的关键措施。

许可证管理问题同样突出，56%的代码库存在冲突，33%缺少明确许可证信息。传递性依赖项常导致许可证不兼容，尤其当涉及GNU GPL等限制性许可证时，可能迫使企业公开源代码。宽松式许可证（如MIT）仅要求保留版权声明，虽风险较低，但未完全免除合规责任。行业差异显示，互联网、金融科技和计算机硬件领域许可证冲突比例高达70%以上，而能源和医疗领域相对较低但需持续关注。

报告通过Log4j和Equifax案例揭示代码可视性的重要性。缺乏对依赖项的理解导致Log4Shell漏洞难以快速响应，Equifax因技术债务和维护缺失引发数据泄露。SCA工具和SBOM在风险管理中发挥关键作用，可全面识别组件、漏洞及许可证问题，帮助跨行业比较风险水平。SBOM标准化格式（SPDX/CycloneDX）能提升供应链透明度，同时辅助补救措施实施。

主要建议包括：1）强制实施SCA工具生成SBOM，识别并管理漏洞与许可证风险；2）优先处理影响核心业务的高风险漏洞；3）定期更新常用库（如jQuery、Babel）以减少已知漏洞暴露；4）建立安全编码规范，强化输入验证和敏感信息保护；5）完善维护流程，通过包管理器和自动化工具监控依赖项状态；6）将开源管理纳入软件开发生命周期（SDLC），符合CISA和NIST标准；7）并购前进行专业开源审计，评估法律与合规风险。

数据表明，开源软件已成为软件供应链的核心，但其风险需通过系统化的代码可视化、持续监控及合规管理进行控制。企业应重视许可证冲突、版本滞后和脆弱性分析，利用SCA工具提升风险管理效率。随着开源复杂性增加，及时响应安全建议和维护更新成为避免重大事故的必要措施。