大规模路径遍历漏洞研究：发现1756个存在风险的GitHub项目及LLM污染问题
内容提要
研究发现，GitHub开源项目中普遍存在关键路径遍历漏洞，影响1,756个项目。尽管该漏洞存在超过15年，仍被广泛复制，主流LLM如ChatGPT也生成相同漏洞代码。研究呼吁消除漏洞代码模式，提高开发者的安全意识。
关键要点
-
研究揭示GitHub开源项目中普遍存在关键路径遍历漏洞，影响1,756个项目。
-
该漏洞存在超过15年，仍被广泛复制，主流LLM如ChatGPT生成相同漏洞代码。
-
研究通过自动化流程实现漏洞检测、利用与修复，揭示代码复用带来的安全风险。
-
Node.js应用中的常见代码片段可被利用进行目录遍历攻击，导致敏感文件泄露。
-
研究构建的自动化流程已促成1,600个有效补丁和63个公开修复的代码库。
-
主流LLM在生成代码时仍会输出漏洞代码，存在安全隐患。
-
研究强调需要消除流行的漏洞代码模式，并提升开发者的安全意识和教育。
延伸解读
路径遍历漏洞的广泛影响
研究显示，关键路径遍历漏洞影响了1,756个GitHub开源项目，且许多项目的CVSS评分高于9.0，属于高危级别。这意味着开发者在使用这些项目时需特别小心，及时更新和修复漏洞，以防止潜在的安全风险。
LLM生成代码的安全隐患
主流大型语言模型（LLM）如ChatGPT和Copilot在生成代码时，仍会输出包含路径遍历漏洞的代码。这表明，开发者在依赖这些工具时，不能完全信任其生成的代码，必须进行严格的安全审查。
自动化漏洞管理的重要性
研究中构建的自动化流程已促成1,600个有效补丁和63个公开修复的代码库，显示出自动化工具在漏洞检测和修复中的潜力。开发者应考虑采用类似的自动化解决方案，以提高代码的安全性和维护效率。
延伸问答
什么是关键路径遍历漏洞？
关键路径遍历漏洞（CWE-22）是一种安全漏洞，允许攻击者访问系统中的敏感文件。
这项研究发现了多少个存在漏洞的GitHub项目？
研究发现了1,756个存在关键路径遍历漏洞的GitHub项目。
主流LLM在生成代码时存在哪些安全隐患？
主流LLM如ChatGPT和Copilot会生成包含关键路径遍历漏洞的代码，存在安全隐患。
研究是如何检测和修复漏洞的？
研究通过自动化流程检测漏洞模式、确认可利用性，并利用GPT-4自动修补代码。
为什么开发者需要提高安全意识？
开发者需要提高安全意识，以避免复制和使用存在安全风险的代码，从而保护系统安全。
研究对开源项目和LLM的建议是什么？
研究建议消除流行的漏洞代码模式，并从LLM中彻底清除这些漏洞，以提高安全性。
