Μια πρόσφατη μελέτη των ειδικών του Kaspersky Security Assessment εντόπισε τις πιο επικίνδυνες και διαδεδομένες ευπάθειες σε εταιρικές διαδικτυακές εφαρμογές που αναπτύσσονται in-house. Tην περίοδο μεταξύ 2021 και 2023 εντοπίστηκαν ελαττώματα που αφορούν τον έλεγχο πρόσβασης και την προστασία των δεδομένων στην πλειονότητα των εξεταζόμενων εφαρμογών, που ανέρχονται συνολικά σε αρκετές δεκάδες. Ο μεγαλύτερος αριθμός ευπαθειών υψηλού επιπέδου κινδύνου αναφερόταν σε SQL injections.
Οι διαδικτυακές εφαρμογές, όπως τα κοινωνικά δίκτυα, το email και οι διαδικτυακές υπηρεσίες, είναι στην ουσία ιστοσελίδες στις οποίες οι χρήστες επικοινωνούν με έναν web server μέσω ενός browser. Στην τελευταία της μελέτη, η Kaspersky διερεύνησε ευπάθειες σε διαδικτυακές εφαρμογές που χρησιμοποιούνται από IT, κυβερνητικούς, ασφαλιστικούς και τηλεπικοινωνιακούς οργανισμούς, αλλά και οργανισμούς κρυπτονομισμάτων, ηλεκτρονικού εμπορίου και υγειονομικής περίθαλψης για να εντοπίσει τους πιο διαδεδομένους τύπους επιθέσεων που είναι πιθανό να συμβούν στις επιχειρήσεις.
Οι επικρατέστεροι τύποι ευπαθειών αφορούσαν την πιθανότητα κακόβουλης χρήσης ελαττωματικών ελέγχων πρόσβασης και αδυναμίες στην προστασία ευαίσθητων δεδομένων. Μεταξύ 2021 και 2023, το 70% των διαδικτυακών εφαρμογών που εξετάστηκαν στην παρούσα μελέτη παρουσίαζαν ευπάθειες σε αυτές τις κατηγορίες.
H ευπάθεια ενός παραβιασμένου ελέγχου πρόσβασης μπορεί να χρησιμοποιηθεί όταν οι εισβολείς προσπαθούν να παρακάμψουν τις πολιτικές ιστότοπου που περιορίζουν τους χρήστες στα εξουσιοδοτημένα δικαιώματά τους. Αυτό μπορεί να οδηγήσει σε μη εξουσιοδοτημένη πρόσβαση, στην αλλοίωση ή τη διαγραφή δεδομένων και όχι μόνο. Ο δεύτερος κοινός τύπος ελαττώματος αφορά την έκθεση ευαίσθητων πληροφοριών, όπως κωδικοί πρόσβασης, στοιχεία πιστωτικών καρτών, αρχεία υγείας, προσωπικά δεδομένα και εμπιστευτικές επιχειρηματικές πληροφορίες, γεγονός που υπογραμμίζει την ανάγκη για αυξημένα μέτρα ασφαλείας.
«Η αξιολόγηση διαμορφώθηκε λαμβάνοντας υπόψη τις πιο συνηθισμένες ευπάθειες σε διαδικτυακές εφαρμογές που αναπτύσσονται εσωτερικά σε διάφορες εταιρείες, καθώς και το επίπεδο κινδύνου τους. Για παράδειγμα, μια ευπάθεια θα μπορούσε να επιτρέψει στους επιτιθέμενους να κλέψουν τα δεδομένα ελέγχου ταυτότητας των χρηστών, ενώ μια άλλη θα μπορούσε να βοηθήσει στην εφαρμογή κακόβουλου κώδικα στον server, με διαφορετικό βαθμό συνεπειών για την επιχειρησιακή βιωσιμότητα και ανθεκτικότητα. Οι κατατάξεις μας αντικατοπτρίζουν αυτή την εκτίμηση, αντλώντας από την πρακτική μας εμπειρία στη διεξαγωγή έργων ανάλυσης ασφάλειας», εξηγεί η Oxana Andreeva, security expert στην ομάδα Kaspersky Security Assessment.
| Type of vulnerability | The share of web applications that contain it | Share of high-risk vulnerabilities | Share of medium-risk vulnerabilities | Share of low-risk vulnerabilities | |||||
| Broken Access Control | 70% | 37% | 49% | 14% | |||||
| Sensitive Data Exposure | 70% | 9% | 28% | 63% | |||||
| Server-Side Request Forgery (SSRF) | 57% | 15% | 66% | 19% | |||||
| SQL Injection | 43% | 88% | 12% | – | |||||
| Cross Site Scripting (XSS) | 61% | 11% | 78% | 11% | |||||
| Broken Authentication | 52% | 21% | 47% | 32% | |||||
| Security Misconfiguration | 43% | 15% | 41% | 44% | |||||
| Insufficient Protection from Brute Force Attacks | 39% | 11% | 39% | 50% | |||||
| Weak User Password | 22% | 78% | 22% | – | |||||
| Using Components with Known Vulnerabilities | 13% | 43% | 43% | 14% |
Οι ειδικοί της Kaspersky εξέτασαν επίσης πόσο επικίνδυνες ήταν οι ευπάθειες στις παραπάνω ομάδες. Το μεγαλύτερο ποσοστό των ευπαθειών που εγκυμονούσαν υψηλό κίνδυνο σχετιζόταν με SQL injections. Συγκεκριμένα, το 88% όλων των ευπαθειών SQL Injection που εξετάστηκαν χαρακτηρίστηκαν ως υψηλού κινδύνου.
Ένα άλλο σημαντικό ποσοστό των ευπαθειών υψηλού κινδύνου βρέθηκε να συνδέεται με αδύναμους κωδικούς πρόσβασης των χρηστών. Σε αυτή την κατηγορία, το 78% όλων των ευπαθειών που αναλύθηκαν χαρακτηρίστηκαν ως υψηλού κινδύνου.
Είναι σημαντικό να σημειωθεί ότι μόνο το 22% όλων των διαδικτυακών εφαρμογών που μελέτησε η ομάδα Kaspersky Security Assessment είχαν αδύναμους κωδικούς πρόσβασης. Ένας πιθανός λόγος είναι ότι οι εφαρμογές που συμπεριλήφθηκαν στο δείγμα της μελέτης μπορεί να ήταν δοκιμαστικές εκδόσεις και όχι πραγματικά λειτουργικά συστήματα.
Οι κατηγορίες ευπάθειας που περιγράφονται στην έρευνα αντιστοιχούν στις κατηγορίες και τις υποκατηγορίες της αξιολόγησης OWASP Top Ten. Η αποκατάσταση των πιο διαδεδομένων ευπαθειών σε διαδικτυακές εφαρμογές που περιγράφονται στη μελέτη θα βοηθήσει τις εταιρείες να προστατεύσουν εμπιστευτικά δεδομένα και να αποφύγουν την παραβίαση διαδικτυακών εφαρμογών και συναφών συστημάτων. Για τη βελτίωση της ασφάλειας των διαδικτυακών εφαρμογών και τον έγκαιρο εντοπισμό πιθανών επιθέσεων σε αυτές, η ομάδα Kaspersky Security Assessment συνιστά:
- χρήση του Secure Software Development Lifecycle (SSDLC),
- τακτική αξιολόγηση της ασφάλειας των εφαρμογών,
- χρήση μηχανισμών σύνδεσης και καταγραφής για την παρακολούθηση της λειτουργίας των εφαρμογών.
