回顾2024年趋势科技零日计划（ZDI）活动

2025年2月7日 | Dustin Childs

新的一年已经开始，但在我们展望未来并可能打破所有决心之前，让我们暂停一下，回顾一下趋势科技零日计划™（ZDI）的2024年。

Pwn2Own竞赛持续超出预期

尽管我们刚刚完成了2025年Pwn2Own汽车竞赛，但如果不提2024年1月举行的首届竞赛，那将是一种疏忽。那次竞赛汇聚了全球一些最优秀的汽车研究人员，登上了历史上最大（字面意思）的Pwn2Own舞台。活动的参与度超出了预期，我们在三天的比赛中颁发了创纪录的1,323,750美元，用于奖励发现的49个独特零日漏洞。之后，我们移师温哥华，Manfred Paul通过黑客攻击Chrome、Edge、Firefox和Safari赢得了“Pwn大师”称号，令所有人惊叹。该活动为29个独特零日漏洞颁发了1,132,500美元，并首次在Pwn2Own活动中看到了Docker逃逸。最后，我们移师爱尔兰和我们的科克办公室。这次竞赛也结束了远程参与，要求所有参赛者必须到场。在四天的比赛中，我们为超过70个零日漏洞颁发了1,066,625美元。这意味着Pwn2Own在2024年为148个独特零日漏洞颁发了超过3,500,000美元。

数据统计

2024年，趋势ZDI发布了1,741份公告，略低于去年创纪录的1,913份（稍后会详细说明）。虽然这不是创纪录的一年，但我们对这个总数感到满意。我们不需要每年都设定新标准——这是不可持续的。尽管我们与全球一些最优秀的研究人员合作，但我们自己的研究人员也度过了出色的一年。所有已发布公告中，超过40%是由趋势ZDI安全研究人员报告的。以下是这些公告数量的逐年比较。

漏洞的协调披露继续是我们项目的优先事项，并且也继续取得成功。尽管2020年我们的零日披露比例最高，但这一数字在接下来的两年中有所下降。然而，尽管这一数字在2023年有所增长，但在2024年略有下降。从10.2%下降到9.7%——所以变化不大。

以下是按厂商分类的公告细分。虽然顶级厂商（AutoDesk）可能会让你感到惊讶，但今年我们与他们广泛合作以改进他们的产品。他们实际上是一个很好的合作伙伴。排名第二的厂商Delta Electronics也应该向你表明ICS/SCADA安全的状态，我们认为这仍然不如他们的企业 counterparts。这也标志着我们报告苹果漏洞数量首次超过Adobe漏洞，但某种感觉告诉我，这一趋势不会在2025年继续。说到Adobe，PDF解析对于不仅仅是Acrobat和Reader的厂商来说仍然是一个安全挑战。Foxit、Kofax/Tungsten Automation和PDF-XChange都有大量由趋势ZDI报告的文件解析漏洞。

当然，我们一直在寻找有影响力的漏洞，以下是2023年的一个有趣比较。尽管我们在2024年发布的漏洞较少，但我们在2024年披露的严重和高危漏洞比2023年更多。我们重视质量胜过数量。

以下是与前几年的比较：

关于我们购买的漏洞类型，以下是2024年十大常见弱点枚举（CWE）：

看到如此多的“简单”漏洞，如栈溢出和SQL注入，仍然占如此大的比例，有点令人不安。希望2025年有所改变。

展望未来

进入新的一年，我们预计会同样忙碌。我们刚刚完成了2025年Pwn2Own汽车竞赛，并即将发布关于下一场Pwn2Own竞赛的特殊公告。如果你不能亲自参加，不用担心。我们将在几乎所有可用的社交媒体平台上流媒体和发布活动视频。我们还有超过350个案例等待修补，并且我们的传入队列已经溢出，因为我们仍在追赶。

我们还计划在今年某个时候更新我们的网站和博客。我知道——我去年也这么说过，但这次我是认真的。当发生时，我承诺会尽一切努力确保你可以在浅色和深色主题之间选择。我们还希望扩展我们的视频内容，我将继续在补丁星期二提供补丁报告，并希望在未来一年稍微调整格式。一如既往，我们希望通过进一步与客户面临的风险对齐，来完善我们的外联和收购工作，确保我们解决的漏洞对客户和更广泛的生态系统产生最大影响。换句话说，2025年将是另一个激动人心的一年，充满有影响力的研究、精彩的竞赛和实用的信息。我们希望你能一起参与。在那之前，保重，关注此博客，订阅我们的YouTube频道，并在Twitter、Mastodon、LinkedIn或Bluesky上关注我们，获取最新的漏洞利用技术和安全补丁信息。

回顾 | 项目新闻