奇安信：2024年度网络安全漏洞威胁态势研究报告（59页）.pdf

1、2025年1月2024年度网络安全漏洞威胁态势研究报告前言/网络安全漏洞威胁态势研究报告网络安全漏洞威胁态势研究报告2024年，全球网络安全领域继续面对日益严峻的挑战。在数字化转型的大背景下，漏洞利用成为网络攻击的重中之重。根据统计，全球新增漏洞数量再创新高，漏洞的复杂性加剧，修复周期也在不断缩短。然而，攻击者的手段日趋复杂，基于漏洞的攻击路径更加隐蔽且复合化。开源项目、云计算、物联网（IoT）、国产软件以及关键基础设施领域漏洞威胁显著增加。展望2025年，人工智能、量子计算、云原生架构和物联网的快速发展进一步扩展了漏洞暴露面。漏洞挖掘、修复和利用的矛盾将成为未来的攻防焦点。本报告立足2024

2、年奇安信CERT汇集的漏洞数据、典型案例及安全事件，全面展示漏洞态势，同时也对2025年漏洞相关新兴技术发展趋势作出前瞻性展望，为企业、政府机构和网络安全从业者提供参考。前言P r e f a c e摘要/网络安全漏洞威胁态势研究报告网络安全漏洞威胁态势研究报告2024年漏洞态势的关键发现：摘要s u m m a r y漏洞数量持续增长：2024年新增漏洞43,757个，同比增长46.7%，其中高危漏洞占比17.8%，总体漏洞威胁程度持续加深。漏洞从暴露到被利用时间窗口持续缩短，平均时间18天，对有实际威胁的漏洞识别与及时修补提出了越来越大的挑战。漏洞深度助力APT攻击：APT组织更倾向于使用

3、零日漏洞和复合攻击链，目标集中于政府、能源、金融及国产软件行业。国产软件漏洞更多关注：706个国产软件漏洞被披露，主要集中于OA、ERP等，暴露国内软件安全审计能力不足。供应链来源漏洞显示高威胁度：供应链漏洞频发，典型案例如XZ Utils工具库后门事件，其传播范围广泛、修复难度大。勒索软件持续通过漏洞攻击获益：勒索软件团伙频繁利用漏洞进行攻击，高危行业为医疗、教育和能源领域。2025年漏洞发展趋势展望：AI驱动的漏洞挖掘与利用：人工智能将被广泛用于漏洞发现、分析和攻击路径优化，攻击及防御复杂性大幅度提升。量子计算冲击传统密码算法：量子计算能力逐步突破，对传统加密协议可能在远期产生影响。云原生

4、与虚拟化漏洞爆发：云原生架构中的容器逃逸、Kubernetes配置错误等漏洞成为热点。物联网设备漏洞激增：物联网设备固件漏洞和通信协议漏洞被攻击者大规模利用。漏洞利用自动化与产业化：漏洞利用即服务（Exploitation-as-a-Service）将推动漏洞攻击规模化。第一章 2024年度漏洞态势分析一、漏洞数量统计与趋势二、漏洞类型分布与威胁分析三、漏洞影响厂商与行业分布四、关键漏洞占比情况五、漏洞标签占比情况六、漏洞热度排名TOP 10七、2024年最危险的CWE类型八、漏洞修复时效性第二章 重大漏洞案例分析一、XZ Utils 库中发现秘密后门，触发紧急安全警报二、黑客利用零日漏洞攻破

5、 Palo Alto Networks 的数千个防火墙三、零点击 Windows TCP/IP RCE 会影响所有启用 IPv6 的系统，请立即修补四、谷歌披露 Chrome 零日漏洞，已被用于部署恶意软件五、UNC5820 威胁集群利用 Fortinet 零日漏洞窃取企业配置数据六、Firefox 零日漏洞被网络犯罪集团使用七、VMware vCenter Server 中的关键 RCE 漏洞现已被利用于攻击八、微软高危漏洞“狂躁许可”引起广泛关注目录T a b l e o f c o n t e n t s网络安全漏洞威胁态势研究报告目录/网络安全漏洞威胁态势研究报告第三章 关键种类漏洞分

6、析一、0day漏洞二、在野利用相关漏洞三、勒索软件相关漏洞四、APT活动相关漏洞五、其它类别关键漏洞第四章 2025年漏洞新兴技术发展趋势展望第五章 漏洞处置建议第六章 总结第七章 奇安信漏洞情报服务订阅附录1：2024年0DAY漏洞列表附录2：2024年在野利用漏洞列表一、人工智能（AI）与自动化漏洞挖掘技术二、量子计算影响下的密码学漏洞三、云原生架构与虚拟化漏洞趋势四、物联网设备漏洞与攻击面扩展五、自动化漏洞利用与攻击工具的进化目录T a b l e o f c o n t e n t s网络安全漏洞威胁态势研究报告目录/网络安全漏洞威胁态势研究报告网络安全漏洞威胁态势研究报告第一章 20