Почти 90% приложений содержат потенциальные проблемы с безопасностью

Почти 90% приложений содержат потенциальные проблемы с безопасностью

Компания Veracode, специализирующаяся на разработке средств для проведения аудита безопасности, опубликовала результаты исследования кода около 10 тысяч различных приложений, проверенных за последние 6 месяцев в cloud-сервисе статического анализа кода, развиваемом данной компанией. Всего было проанализировано несколько миллиардов строк кода, который предоставлен как проприетарными, так и открытыми проектами. По данным отчета только 16% из всех приложений смогли пройти тестирование с первого раза, в остальных случаях были выявлены те или иные проблемы с безопасностью.



При аналогичном исследовании проведённом полгода назад проверку сразу прошли 42% приложений, столь значительное различие объясняется ужесточением требований к тестовым проверкам, в частности, уязвимости XSS и "SQL Injection" более не относятся к категории незначительных, так как часто становятся причиной утечки важных данных. Отдельно отмечается низкое качество программ для мобильных систем и web-приложений, используемых на государственных сайтах, передает opennet.ru.

Интересно, что для коммерческих и открытых проектов уровень прохождения тестов оказался одинаковым, обе категории программ прошли тест с первого раза только в 12% случаев. Степень прохождения проверки для кода, разработанного для внутреннего применения составила 17%, а для кода разработанного по аутсорсингу - 7% (частично, оправданием для аутсорсинга является относительно небольшое число проверенных проектов, что не позволило собрать достаточной статистики).

Среди наиболее часто эксплуатируемых уязвимостей, которым подвержены web-приложения, отмечаются атаки по подстановке SQL-кода и по встраиванию JavaScript/HTML контента (XSS-уязвимости). Именно за счет данных проблем совершено большинство атак групп Anonymous и LulzSec в последнее время. Только атака по подстановке SQL-кода, проведённая в апреле с использованием вредоносного ПО Lizamoon, привела к поражению тысяч сайтов. Проникновение через связанные с подстановкой SQL уязвимости становится эпидемией. Проблемы, связанные с XSS-уязвимостями, выявлены в 68% проверенных web-приложений, а "SQL Injection" - в 32%. При анализе государственных сайтов было выявлено, что 40% из них могут использоваться для подстановки SQL-кода, а 75% подвержены XSS-уязвимостям. Для финансового сектора данные показатели составляют 29% и 67%, а для производителей ПО - 30% и 55%.

Что касается обычных приложений, не связанных с web, то в 19% случаев наблюдаются проблемы с обработкой ошибок, в 15% некорректная работа с буферами, 14% - переполнение буфера, 11% - возможность переопределения путей или имен файлов (например, отсутствие проверки на "../"), 9% - целочисленные переполнения, 9% - потенциальное наличие бэкдоров (!), 8% - некорректное использование криптографических средств, 4% - утечка информации, 2% - возможность подстановки SQL-запросов.

Кроме того, выявлено, что от 30 до 70% разработанных для внутреннего использования приложений так или иначе повторно используют чужой код, например, в виде вызова функций сторонних библиотек. Часто именно сторонний код становится причиной проблем. Например, большое число XSS-уязвимостей в приложениях гос. учреждений связано с использованием платформы Adobe ColdFusion.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Финуслуги РФ теряют быструю связь с клиентом: 30% звонков попадают под блок

Национальный совет финансового рынка (НСФР) направил в кабмин и Банк России письмо с предупреждением о «предкризисной» ситуации, сложившейся в отрасли из-за ужесточения борьбы с телефонным спамом и мошенничеством.

По данным НСФР, в настоящее время операторы сотовой связи блокируют около трети звонков из финорганизаций. В результате нарушилось оперативное взаимодействие с клиентурой.

Больше прочих страдают инициаторы транзакций, которые требуется срочно подтвердить, чтобы развеять возникшие у банка сомнения, а также должники: их обычно вовремя предупреждали о просрочке выплат по страховке или кредиту.

По всей видимости, операторы связи не успели в полной мере подготовиться к выполнению новых требований в рамках борьбы с мошенничеством. Блокировка массовых вызовов происходит автоматом, однако их маркировка далеко не везде реализована; в результате у инициаторов звонков нет возможности заручиться согласием клиентов на прием телефонных предупреждений.

В комментарии для BFM глава НСФР Андрей Емелин посетовал также на увеличение расходов на услуги связи.

«Для того чтобы массовый вызов прошел, банк вынуждает операторов связи заключать договор не только со своим оператором, но и с оператором, обслуживающим абонента, — поясняет председатель совета. — В картине мира операторов связи получается, что каждый банк должен заключить договор с каждым из существующих операторов на то, чтобы он доводил до своих абонентов вызовы, которые он, этот оператор, считает массовыми, и все это сверху еще предлагается оплачивать банкам. Итого мы за сам звонок платим, за маркировку этого звонка платим и за то, чтобы он не квалифицировался как массовый вызов. То есть одна и та же услуга фактически тарифицируется трижды».

Напомним, поправки к российским законам, принятые в рамках борьбы с телефонным мошенничеством, обязывают операторов связи маркировать звонки от компаний и ИП, а также блокировать такие вызовы на основании запретов, выставленных абонентами.

Примечательно, что звонки через мессенджеры тоже ограничили, так что этот канал оперативного взаимодействия поставщиков услуг с клиентами теперь перекрыт.

В заключение стоит отметить, что проблемы из-за блокировки ковровых звонков возникли не только у сервис-провайдеров, но и у исследовательских организаций. Чтобы спасти ситуацию, Минцифры решило составить список юрлиц, которым для обзвона согласие абонентов не требуется.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru