Компания Veracode представила службу проверки сайтов на уязвимости

Сервис призван помочь корпоративным клиентам в поиске и исправлении разнообразных изъянов в их веб-приложениях. Сайты будут проверяться на наличие ряда часто эксплуатируемых ошибок безопасности - например, возможностей межсайтового исполнения сценариев (XSS) и проведения SQL-инъекций. Одной из основных особенностей новой службы является быстрое исследование множества информационных ресурсов.


Службу назвали Dynamic MP. Согласно официальному объявлению, она будет осуществлять оперативное сканирование предъявленных ей веб-приложений и эффективно выискивать те уязвимости, которые наиболее часто применяются взломщиками для компрометации информационных активов. Поскольку XSS, SQL-инъекции и другие им подобные атаки представляют собой излюбленное оружие взломщиков, в том числе - Интернет-анонимов и группировки Lulz Security, неудивительно, что бизнес-клиенты Veracode часто выказывают обеспокоенность: а не подвержены ли их ресурсы аналогичным нападениям?

Как сказал вице-президент компании Сэм Кинг, в ведении которого находится направление продуктового маркетинга, "никто из них [т.е. предприятий и организаций] не хочет стать новой Sony". Все последние месяцы сетевые издания то и дело сообщают о каком-нибудь новом взломе, и это не может не настораживать. В каком-то смысле анонимных хакеров можно даже поздравить с успехом: во многом благодаря им владельцы сетевых ресурсов стали наконец задумываться о том, какие опасные изъяны могут существовать в их веб-приложениях.

Однако правильных мыслей мало: сайты нужно тестировать. Подчас компаниям оказывается тяжело сделать это - ведь следует знать, что проверять и каким образом, а компетентного специалиста в штате может и не быть. Veracode, в свою очередь, полагает, что ее сервис посодействует разрешению подобных проблем, снижая тем самым трудовые, временные и денежные затраты на поиск уязвимостей. Служба Dynamic MP использует вычислительные возможности "облака" и технологии распараллеливания задач, что позволяет существенно ускорить процесс анализа. При этом система будет не только предлагать оптимальные способы устранения уязвимостей, но и формировать предложения по долгосрочному проактивному обеспечению безопасности программных продуктов.

V3.co.uk

Письмо автору

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Уязвимости в межсетевых экранах Cisco угрожали сотням тысяч устройств

В межсетевых экранах Cisco Adaptive Security Appliance и Firepower Threat Defense найдены две уязвимости, затрагивающие в общей сложности сотни тысяч устройств. Успешная эксплуатация этих дыр позволяет злоумышленнику провести DoS-атаку.

Проблемы выявил специалист Positive Technologies Никита Абрамов, который также объяснил, что для использования багов условный киберпреступник должен отправить специально созданный пакет.

«Если атака увенчается успехом, злоумышленник сможет вызвать отказ в обслуживании межсетевого экрана. После этого устройство перезагрузится, а пользователи уже не смогут попасть во внутреннюю сеть организации», — рассказывает эксперт.

«Поскольку проблема может затронуть и VPN-подключения, подобная атака способна повлиять на бизнес-процессы в условиях повсеместной удалённой работы. Масштаб выявленной уязвимости можно сравнить с CVE-2020-3259, которую нашли на 220 тысячах устройств».

Атакующему не потребуется проходить аутентификацию или получать какие-либо дополнительные права. Достаточно будет банальной отправки специального запроса по определённому пути. Как отметил Абрамов, уязвимость угрожает любой организации, использующей эти устройства для организации удалённого доступа сотрудников.

Бреши получили идентификаторы CVE-2021-1445, CVE-2021-1504 и 8,6 баллов по шкале CVSS 3.1. Таким образом, уязвимостям можно присвоить высокий уровень опасности. В Positive Technologies подчеркнули, что это логические ошибки, часто возникающие по вине разработчиков.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru