PoC-коды для атак на сайты через уязвимости публикуются раз в три дня

PoC-коды для атак на сайты через уязвимости публикуются раз в три дня

PoC-коды для атак на сайты через уязвимости публикуются раз в три дня

Согласно результатам исследования, каждый месяц в веб-приложениях суммарно объявляется около 1000 новых уязвимостей. Четверть из них получают оценку «высокой опасности» или «критическая» (по CVSS).

Как подсчитали специалисты BI.ZONE, в 4% случаев концепция эксплойта становится достоянием общественности, такие PoC выкладывают в паблик 2-3 раза в неделю. Статистика была получена на основе анализа данных о веб-уязвимостях, выявленных этой осенью.

Около половины находок составили XSS и SQLi (26 и 22% соответственно). Вместе с тем авторы атак отдают предпочтение RCE — на такие попытки эксплойта пришлось 60% вредоносного трафика, зафиксированного осенью экспертами.

Опасные уязвимости чаще всего объявляются в приложениях, написанных на PHP (73%). Вторую и третью строчки в этом списке заняли JavaScript (13%) и Java (12%).

«Не все компании готовы оперативно обновлять софт до последней версии: в ряде случаев это может привести к сбоям в работе приложения, — отметил Дмитрий Царев, возглавляющий направление облачных решений кибербезопасности BI.ZONE. — В такой ситуации можно использовать решения класса WAF, чтобы блокировать вредоносные запросы. Это позволяет оперативно защитить приложение, пока компания тестирует обновление».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Суд заблокировал 11 телеграм-каналов, где продавали данные из ЕГРН

Останкинский суд Москвы постановил заблокировать 11 телеграм-каналов, через которые осуществлялась торговля данными из Единого государственного реестра недвижимости (ЕГРН).

Как сообщает ТАСС, с инициативой о блокировке каналов в суд обратилась прокуратура. В ходе планового мониторинга интернета её сотрудники выявили 11 телеграм-каналов, где свободно распространялись сведения из ЕГРН.

Доступ к этим каналам был открытым — не требовалась ни регистрация, ни ввод паролей, ни иные меры защиты.

Согласно иску прокуратуры, такая деятельность незаконна. Исключительное право предоставлять гражданам сведения из ЕГРН имеет только Роскадастр.

«Суд решил административное исковое заявление исполняющего обязанности прокурора СВАО Москвы в защиту прав, свобод и законных интересов неопределённого круга лиц о признании информации запрещённой к распространению — удовлетворить. Признать информацию, размещённую в сети "Интернет" в телеграм-канале <...>, запрещённой к распространению на территории РФ. Решение суда подлежит немедленному исполнению», — приводит ТАСС выдержку из постановления суда.

В начале января 2025 года телеграм-канал «Утечки информации» сообщил об утечке данных Росреестра, сославшись на объявление на одном из хакерских форумов. Однако само ведомство этот факт опровергло.

Кроме того, в 2023 году в мобильном приложении Росреестра была обнаружена серьёзная уязвимость, позволявшая получить полный объём сведений о владельцах недвижимости в обход авторизации.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru