82% уязвимостей в веб-приложениях содержатся в исходном коде

[VAOZ]

Эксперты компании Positive Technologies проанализировали состояние защищенности веб-приложений и выяснили, что в 9 случаях из 10 злоумышленники могут атаковать посетителей сайта. Кроме того, выявилось, что 16% приложений содержат уязвимости, позволяющие получить полный контроль над системой, а в 8% случаев — атаковать внутреннюю сеть компании. А получив полный доступ к веб-серверу, хакеры могут размещать на атакуемом сайте собственный контент (выполнять дефейс) или даже атаковать его посетителей, например, заражая их компьютеры малварью.

По данным исследования, в 2019 году существенно (на 17 процентных пунктов по сравнению с 2018 годом) снизилась доля веб-приложений, содержащих уязвимости высокого уровня риска. Число уязвимостей, которое в среднем приходится на одно приложение, снизилось по сравнению с прошлым годом почти в полтора раза. Но, несмотря на это, общий уровень защищенности веб-приложений по-прежнему оценивается как низкий.

82% всех выявленных уязвимостей оказались обусловлены ошибками в коде. По словам экспертов, даже в случае продуктивных систем в каждой второй они находили уязвимости высокого уровня риска.

Высокий процент ошибок в исходном коде свидетельствует о том, что код не проходит проверку на наличие уязвимостей на промежуточных этапах его создания, а также что разработчики по-прежнему уделяют недостаточно внимания безопасности, делая ставку на функциональность приложения.

В 45% исследованных веб-приложений эксперты обнаружили недостатки аутентификации (Broken Authentication); многие уязвимости из этой категории критически опасны.

По данным экспертов, 90% веб-приложений подвержены угрозе атак на клиентов. Как и в предыдущие годы, существенную роль в этом играет XSS. Примерами атак на пользователей могут быть заражение компьютеров вредоносным ПО (доля этого метода атак на частных лиц в третьем квартале года увеличилось до 62% против 50% во втором), фишинговые атаки для получения учетных или других важных данных, а также выполнение действий от имени пользователя с помощью обманной техники кликджекинг, в частности для накрутки лайков и просмотров.