無形威脅走向生命終點的高風險應用程序

■張立

無形威脅走向生命終點的高風險應用程序

■張立

在走向生命的終點之后，應用程序將不再受到其原始開發商的維護，且無法繼續獲得任何后續安全更新。然而，很多用戶在這種情況下往往忘記從自己的設備上將這些應用刪除，或者干脆沒有意識到這有可能帶來安全風險。

“如果某款程序已經壽終正寢，那么請立刻將其卸載，”Secunia Research公司研究與安全主管Kasper Lindgaard指出，他同時還整理出一份目前此類風險程度最高的應用程序清單。“如果大家不再使用某款程序，將其卸載能夠保證大家不至于最終忘記了它的存在。而如果任由其繼續存在于后臺當中，那么它可能變得愈發陳舊且漏洞百出。”

2013 年，用戶設備上的平均已到期應用程序數量占比為整體應用的3%到4%，不過在過去12個月當中、這一比例已經增長到5%到6%之間。

根據Secunia公司于10月末發布的一份報告，以下十款應用程序為目前市場份額最為可觀的高風險應用程序。

Adobe Flash Player 18.x

最初發布時間：2015年6月

根據Secunia方面所言，Flash Player 18的生命終點為今年9月22日。從歷史角度講，Flash Player的上代版本已經成為用戶設備當中最為常見的過期程序。今年7月，Flash Player 17成為影響范圍最大的已過期程序，其存在于78%的普通用戶設備當中;而今年4月的過期程序王者則為Flash Player 16，覆蓋比例同樣為78%。將視線轉向今年1月，Secunia公司曾在報告中指出，Flash Player 15是當時風險最高的應用程序，其覆蓋比例達到73%。而在去年10月的報告內，Adobe Flash Player 14剛剛過期，但仍然存在于77%的用戶設備當中。

微軟XML Core Services 4.x

其誕生時間為2009年，而壽終正寢之時則為2014年4月。在當時，該應用程序仍然存在于79%的用戶設備當中，其中43%甚至沒有進行過補丁安裝，這就意味著其即使是在尚受支持的周期之內仍然會引發安全風險，Secunia方面強調稱。而截至去年，該應用程序仍然占據著76%的用戶設備比例。

很多用戶甚至完全不知道這款應用程序的存在。而在另一些情況下，將其移除可能會導致其它軟件停止工作。

甲骨文Java JRE 1.7.x與7.x

最初發布于2011年，支持終止時間為2015年4月。

Java廣泛存在于各類網絡瀏覽器當中，這也使其成為最為流行的一種攻擊實現途徑。而且與微軟XML Core Services類似，Java也存在著安全補丁安裝缺失的問題。在支持正式結束之前，Java JRE 1.7與7總計存在于44%的用戶設備當中，其中80%未及時安裝最新安全補丁。

谷歌Chrome 44.x

最初發布于2015年7月，但隨后于同年9月被谷歌Chrome 45所取代。

Chrome與火狐瀏覽器的上兩個版本都成為Secunia公司針對過去兩年所發布的十大高風險過期應用程序榜單中的一員，這顯然是因為用戶總是懶于將它們更新到最新版本。

谷歌Chrome 43.x

根據Clicky Web Analytics公司的調查——其立足于超過50萬個網站對瀏覽器的流量份額進行了計算——Chrome 43的過渡期較正常水平要略長一些，這可能是受到夏季天氣火熱而用戶不愿長時間坐在電腦前面的影響，總之使用者往往沒有立即對其進行更新。此版本最初發布于2015年5月，并于同年7月為谷歌Chrome 45瀏覽器所取代。

Mozilla火狐39.x

最初發布于今年7月，隨后被8月推出的火狐40所取代。

根據Mozilla公司于幾年前進行的一次調查顯示，大多數用戶都沒能對自己的瀏覽器進行及時更新——這一方面是因為他們對自己的現有版本比較滿意而意識不到更新的必要性，另一方面則因為他們往往因為工作繁忙而無暇立即執行更新——這種情況下，版本更新就成了偶爾會被想起的次要任務。

Mozilla火狐40.x

與Chrome 43類似，火狐40于今年夏季被新版本所取代，但其過渡時間比正常時間稍長。此版本最初發布于今年8月，并被9月出爐的火狐41所取代。

Adobe AIR 18.x

最初發布于2015年6月。Adobe AIR 19——也就是其最新版本——于今年9月推出。

Adobe AIR允許開發人員將同一應用程序打包至多種不同系統平臺——包括Windows、Macintosh、iOS以及Android。在Secunia過去兩年內發布的十大過期程序當中，至少有兩個版本的Adobe AIR榜上有名。

甲骨文Java JRE 1.6.x與6.x

在2013年第二季度官方支持正式結束之前，Secunia方面報告稱Java JRE 1.6與6存在于53%的用戶設備當中——其中75%未及時安裝更新補丁。而在2013年第三季度，該軟件正式迎來了生命終點，但其仍然存在于39%的用戶設備之內。它已經成為存在時間最長的主流過期應用程序，這是因為相當一部分用戶甚至根本沒有意識到它仍然存在于自己的計算設備當中，或者為了保持兼容性而主動選擇繼續使用。其最初發布于2006年，支持結束時間則為2013年。

Adobe AIR 3.x

Adobe AIR 3.x在2013年第四季度位列十大安全風險最高的應用程序之列，而當時其官方支持尚未正式結束。它存在于43%的用戶設備當中，其中52%未及時安裝更新補丁。不過隨時該應用程序走向生命終點，這一未更新比例變得無關緊要——因為黑客們開始不斷從中發現新的安全漏洞。即使是那些已經進行了妥善更新的安裝版本也會在官方支持結束后遭到入侵。其最初發布于2011年，而2014年3月推出的AIR 4是其正式繼任者。