Почти 90% приложений содержат потенциальные проблемы с безопасностью

Почти 90% приложений содержат потенциальные проблемы с безопасностью

Компания Veracode, специализирующаяся на разработке средств для проведения аудита безопасности, опубликовала результаты исследования кода около 10 тысяч различных приложений, проверенных за последние 6 месяцев в cloud-сервисе статического анализа кода, развиваемом данной компанией. Всего было проанализировано несколько миллиардов строк кода, который предоставлен как проприетарными, так и открытыми проектами. По данным отчета только 16% из всех приложений смогли пройти тестирование с первого раза, в остальных случаях были выявлены те или иные проблемы с безопасностью.



При аналогичном исследовании проведённом полгода назад проверку сразу прошли 42% приложений, столь значительное различие объясняется ужесточением требований к тестовым проверкам, в частности, уязвимости XSS и "SQL Injection" более не относятся к категории незначительных, так как часто становятся причиной утечки важных данных. Отдельно отмечается низкое качество программ для мобильных систем и web-приложений, используемых на государственных сайтах, передает opennet.ru.

Интересно, что для коммерческих и открытых проектов уровень прохождения тестов оказался одинаковым, обе категории программ прошли тест с первого раза только в 12% случаев. Степень прохождения проверки для кода, разработанного для внутреннего применения составила 17%, а для кода разработанного по аутсорсингу - 7% (частично, оправданием для аутсорсинга является относительно небольшое число проверенных проектов, что не позволило собрать достаточной статистики).

Среди наиболее часто эксплуатируемых уязвимостей, которым подвержены web-приложения, отмечаются атаки по подстановке SQL-кода и по встраиванию JavaScript/HTML контента (XSS-уязвимости). Именно за счет данных проблем совершено большинство атак групп Anonymous и LulzSec в последнее время. Только атака по подстановке SQL-кода, проведённая в апреле с использованием вредоносного ПО Lizamoon, привела к поражению тысяч сайтов. Проникновение через связанные с подстановкой SQL уязвимости становится эпидемией. Проблемы, связанные с XSS-уязвимостями, выявлены в 68% проверенных web-приложений, а "SQL Injection" - в 32%. При анализе государственных сайтов было выявлено, что 40% из них могут использоваться для подстановки SQL-кода, а 75% подвержены XSS-уязвимостям. Для финансового сектора данные показатели составляют 29% и 67%, а для производителей ПО - 30% и 55%.

Что касается обычных приложений, не связанных с web, то в 19% случаев наблюдаются проблемы с обработкой ошибок, в 15% некорректная работа с буферами, 14% - переполнение буфера, 11% - возможность переопределения путей или имен файлов (например, отсутствие проверки на "../"), 9% - целочисленные переполнения, 9% - потенциальное наличие бэкдоров (!), 8% - некорректное использование криптографических средств, 4% - утечка информации, 2% - возможность подстановки SQL-запросов.

Кроме того, выявлено, что от 30 до 70% разработанных для внутреннего использования приложений так или иначе повторно используют чужой код, например, в виде вызова функций сторонних библиотек. Часто именно сторонний код становится причиной проблем. Например, большое число XSS-уязвимостей в приложениях гос. учреждений связано с использованием платформы Adobe ColdFusion.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Упавший сайт сети ВинЛаб обвалил акции компании Novabev

Сайт сети алкомаркетов «ВинЛаб», принадлежащей компании Novabev, перестал работать сегодня. Сбой затронул не только онлайн-канал, но и офлайн-магазины сети. Причины технических неполадок официально не раскрываются. На фоне инцидента акции Novabev упали на 5,5%.

«По техническим причинам временно ограничены возможности покупки онлайн и в магазинах. Наша команда прилагает все усилия для оперативного возобновления работы в полном объеме. Сожалеем о доставленных неудобствах, благодарны нашим покупателям за понимание», — говорится в официальном сообщении пресс-службы «ВинЛаб», которое привёл ТАСС.

Как сообщил телеграм-канал «Т-Инвестиции», падение котировок Novabev на 5,5% напрямую связано с проблемами дочерней компании:

«Причиной такой динамики акций стал неработающий сайт дочерней компании группы — алкомаркета «ВинЛаб». На сайте сообщается, что сеть проводит технические работы, и ресурс пока недоступен для оформления заказов. Также на форуме Smart-lab появился пост, в котором говорится о приостановке работы торговых точек по техническим причинам во всех регионах РФ».

При этом финансовые показатели «ВинЛаб» за 2024 год были одними из лучших в отрасли. Выручка компании выросла на 30%, а чистая прибыль увеличилась в 1,5 раза. По темпам роста «ВинЛаб» опережает большинство конкурентов в сегменте алкоретейла.

Напомним, что в июле 2024 года база данных покупателей «ВинЛаб» оказалась в открытом доступе. Компания подтвердила факт попытки взлома своих систем.

Сбой в работе ВинЛаб

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru