大规模路径遍历漏洞研究：发现1756个存在风险的GitHub项目及LLM污染问题
💡
原文中文，约1300字，阅读约需4分钟。
📝
内容提要
研究发现，GitHub开源项目中普遍存在关键路径遍历漏洞，影响1,756个项目。尽管该漏洞存在超过15年，仍被广泛复制，主流LLM如ChatGPT也生成相同漏洞代码。研究呼吁消除漏洞代码模式，提高开发者的安全意识。
🎯
关键要点
- 研究揭示GitHub开源项目中普遍存在关键路径遍历漏洞，影响1,756个项目。
- 该漏洞存在超过15年，仍被广泛复制，主流LLM如ChatGPT生成相同漏洞代码。
- 研究通过自动化流程实现漏洞检测、利用与修复，揭示代码复用带来的安全风险。
- Node.js应用中的常见代码片段可被利用进行目录遍历攻击，导致敏感文件泄露。
- 研究构建的自动化流程已促成1,600个有效补丁和63个公开修复的代码库。
- 主流LLM在生成代码时仍会输出漏洞代码，存在安全隐患。
- 研究强调需要消除流行的漏洞代码模式，并提升开发者的安全意识和教育。
❓
延伸问答
什么是关键路径遍历漏洞？
关键路径遍历漏洞（CWE-22）是一种安全漏洞，允许攻击者访问系统中的敏感文件。
这项研究发现了多少个存在漏洞的GitHub项目？
研究发现了1,756个存在关键路径遍历漏洞的GitHub项目。
主流LLM在生成代码时存在哪些安全隐患？
主流LLM如ChatGPT和Copilot会生成包含关键路径遍历漏洞的代码，存在安全隐患。
研究是如何检测和修复漏洞的？
研究通过自动化流程检测漏洞模式、确认可利用性，并利用GPT-4自动修补代码。
为什么开发者需要提高安全意识？
开发者需要提高安全意识，以避免复制和使用存在安全风险的代码，从而保护系统安全。
研究对开源项目和LLM的建议是什么？
研究建议消除流行的漏洞代码模式，并从LLM中彻底清除这些漏洞，以提高安全性。
➡️
