Αυτές είναι οι πιο επικίνδυνες και διαδεδομένες ευπάθειες σε εταιρικές εφαρμογές

Μια πρόσφατη μελέτη των ειδικών του Kaspersky Security Assessment εντόπισε τις πιο επικίνδυνες και διαδεδομένες ευπάθειες σε εταιρικές διαδικτυακές εφαρμογές που αναπτύσσονται in-house. Tην περίοδο μεταξύ 2021 και 2023 εντοπίστηκαν ελαττώματα που αφορούν τον έλεγχο πρόσβασης και την προστασία των δεδομένων στην πλειονότητα των εξεταζόμενων εφαρμογών, που ανέρχονται συνολικά σε αρκετές δεκάδες. Ο μεγαλύτερος αριθμός ευπαθειών υψηλού επιπέδου κινδύνου αναφερόταν σε SQL injections.

Οι διαδικτυακές εφαρμογές, όπως τα κοινωνικά δίκτυα, το email και οι διαδικτυακές υπηρεσίες, είναι στην ουσία ιστοσελίδες στις οποίες οι χρήστες επικοινωνούν με έναν web server μέσω ενός browser. Στην τελευταία της μελέτη, η Kaspersky διερεύνησε ευπάθειες σε διαδικτυακές εφαρμογές που χρησιμοποιούνται από IT, κυβερνητικούς, ασφαλιστικούς και τηλεπικοινωνιακούς οργανισμούς, αλλά και οργανισμούς κρυπτονομισμάτων, ηλεκτρονικού εμπορίου και υγειονομικής περίθαλψης για να εντοπίσει τους πιο διαδεδομένους τύπους επιθέσεων που είναι πιθανό να συμβούν στις επιχειρήσεις.

Οι επικρατέστεροι τύποι ευπαθειών αφορούσαν την πιθανότητα κακόβουλης χρήσης ελαττωματικών ελέγχων πρόσβασης και αδυναμίες στην προστασία ευαίσθητων δεδομένων. Μεταξύ 2021 και 2023, το 70% των διαδικτυακών εφαρμογών που εξετάστηκαν στην παρούσα μελέτη παρουσίαζαν ευπάθειες σε αυτές τις κατηγορίες.

H ευπάθεια ενός παραβιασμένου ελέγχου πρόσβασης μπορεί να χρησιμοποιηθεί όταν οι εισβολείς προσπαθούν να παρακάμψουν τις πολιτικές ιστότοπου που περιορίζουν τους χρήστες στα εξουσιοδοτημένα δικαιώματά τους. Αυτό μπορεί να οδηγήσει σε μη εξουσιοδοτημένη πρόσβαση, στην αλλοίωση ή τη διαγραφή δεδομένων και όχι μόνο. Ο δεύτερος κοινός τύπος ελαττώματος αφορά την έκθεση ευαίσθητων πληροφοριών, όπως κωδικοί πρόσβασης, στοιχεία πιστωτικών καρτών, αρχεία υγείας, προσωπικά δεδομένα και εμπιστευτικές επιχειρηματικές πληροφορίες, γεγονός που υπογραμμίζει την ανάγκη για αυξημένα μέτρα ασφαλείας.

«Η αξιολόγηση διαμορφώθηκε λαμβάνοντας υπόψη τις πιο συνηθισμένες ευπάθειες σε διαδικτυακές εφαρμογές που αναπτύσσονται εσωτερικά σε διάφορες εταιρείες, καθώς και το επίπεδο κινδύνου τους. Για παράδειγμα, μια ευπάθεια θα μπορούσε να επιτρέψει στους επιτιθέμενους να κλέψουν τα δεδομένα ελέγχου ταυτότητας των χρηστών, ενώ μια άλλη θα μπορούσε να βοηθήσει στην εφαρμογή κακόβουλου κώδικα στον server, με διαφορετικό βαθμό συνεπειών για την επιχειρησιακή βιωσιμότητα και ανθεκτικότητα. Οι κατατάξεις μας αντικατοπτρίζουν αυτή την εκτίμηση, αντλώντας από την πρακτική μας εμπειρία στη διεξαγωγή έργων ανάλυσης ασφάλειας», εξηγεί η Oxana Andreeva, security expert στην ομάδα Kaspersky Security Assessment.

Type of vulnerability		The share of web applications that contain it		Share of high-risk vulnerabilities		Share of medium-risk vulnerabilities		Share of low-risk vulnerabilities
Broken Access Control		70%		37%		49%		14%
Sensitive Data Exposure		70%		9%		28%		63%
Server-Side Request Forgery (SSRF)		57%		15%		66%		19%
SQL Injection		43%		88%		12%		–
Cross Site Scripting (XSS)		61%		11%		78%		11%
Broken Authentication		52%		21%		47%		32%
Security Misconfiguration		43%		15%		41%		44%
Insufficient Protection from Brute Force Attacks		39%		11%		39%		50%
Weak User Password		22%		78%		22%		–
Using Components with Known Vulnerabilities		13%		43%		43%		14%

Οι ειδικοί της Kaspersky εξέτασαν επίσης πόσο επικίνδυνες ήταν οι ευπάθειες στις παραπάνω ομάδες. Το μεγαλύτερο ποσοστό των ευπαθειών που εγκυμονούσαν υψηλό κίνδυνο σχετιζόταν με SQL injections. Συγκεκριμένα, το 88% όλων των ευπαθειών SQL Injection που εξετάστηκαν χαρακτηρίστηκαν ως υψηλού κινδύνου.

Ένα άλλο σημαντικό ποσοστό των ευπαθειών υψηλού κινδύνου βρέθηκε να συνδέεται με αδύναμους κωδικούς πρόσβασης των χρηστών. Σε αυτή την κατηγορία, το 78% όλων των ευπαθειών που αναλύθηκαν χαρακτηρίστηκαν ως υψηλού κινδύνου.

Είναι σημαντικό να σημειωθεί ότι μόνο το 22% όλων των διαδικτυακών εφαρμογών που μελέτησε η ομάδα Kaspersky Security Assessment είχαν αδύναμους κωδικούς πρόσβασης. Ένας πιθανός λόγος είναι ότι οι εφαρμογές που συμπεριλήφθηκαν στο δείγμα της μελέτης μπορεί να ήταν δοκιμαστικές εκδόσεις και όχι πραγματικά λειτουργικά συστήματα.

Οι κατηγορίες ευπάθειας που περιγράφονται στην έρευνα αντιστοιχούν στις κατηγορίες και τις υποκατηγορίες της αξιολόγησης OWASP Top Ten. Η αποκατάσταση των πιο διαδεδομένων ευπαθειών σε διαδικτυακές εφαρμογές που περιγράφονται στη μελέτη θα βοηθήσει τις εταιρείες να προστατεύσουν εμπιστευτικά δεδομένα και να αποφύγουν την παραβίαση διαδικτυακών εφαρμογών και συναφών συστημάτων. Για τη βελτίωση της ασφάλειας των διαδικτυακών εφαρμογών και τον έγκαιρο εντοπισμό πιθανών επιθέσεων σε αυτές, η ομάδα Kaspersky Security Assessment συνιστά:

• χρήση του Secure Software Development Lifecycle (SSDLC),
• τακτική αξιολόγηση της ασφάλειας των εφαρμογών,
• χρήση μηχανισμών σύνδεσης και καταγραφής για την παρακολούθηση της λειτουργίας των εφαρμογών.