开源与供应链
被遗弃的软件项目持续带来安全风险
原标题: 被遗弃的软件项目持续带来安全风险
📋总体概括
安全研究人员披露，一款已被厂商弃养十年之久的老旧应用因关联域名过期被抢注，差点让攻击者实现数百万台设备的接管，研究人员通过发布补丁才堵住这一隐患。事件再次证明：被遗忘的软件项目并不会随时间消失，其残留的更新通道、域名和签名基础设施反而成为攻击者的免费跳板，是软件供应链中最容易被忽视的持久风险。
⚡关键信息
- ▸安全公司发现一款被弃置十年的旧应用存在被远程接管的链路，影响规模达数百万台设备
- ▸漏洞根源是原厂商已停止维护，应用依赖的旧域名过期后被第三方重新注册
- ▸研究人员选择主动发布补丁，填补原厂商缺位留下的安全真空
- ▸被遗弃软件的更新与回连机制持续在线，等于为攻击者保留了长期可用的攻击面
🔥犀利点评
这类问题的本质是软件行业没有『身后事』制度：公司死了、产品停了，但装在数百万机器上的客户端还活着，还在周期性回连一个无人看管的域名。域名一过期，谁抢到谁就是新的更新服务器，攻击成本几乎为零。行业该有个惯例——停运前至少切断自动更新通道、注销签名体系并公告迁移方案，否则每一次产品退役都是在给攻击者留遗产。
📰 相关资讯（与本文相关的其他资讯）
本文由本站自动聚合，以下为原始来源：前往 DarkReading 阅读全文 →