Ezek a legveszélyesebb biztonsági rések
Megszületett a sebezhetőségek legújabb toplistája, amely jól rávilágít arra, hogy mire kell(ene) leginkább odafigyelniük a fejlesztőknek és a biztonsági szakembereknek.
A MITRE legutóbb nyolc évvel ezelőtt tette közzé azt a toplistáját, amely a szoftveres sérülékenységek legveszélyesebb típusait tartalmazta. A biztonsági kutatók úgy határoztak, hogy itt az ideje egy friss toplista összeállításának, hiszen az elmúlt években sokat változott a szoftverbiztonság.
A 2019-es rangsor esetében fontos megjegyezni, hogy az nem kizárólag a sebezhetőségek veszélyessége alapján alakult ki. Egyebek mellett az is sokat nyomott a latba, hogy az egyes biztonsági réseket milyen széles körben, milyen gyakran használják ki a kiberbűnözők a támadásaik során. Ezek alapján az első helyre azok a hibák kerültek, amelyek a nem megfelelően korlátozott memóriakezelési műveletekre vezethetők vissza. Ezeket követik az XSS (Cross-site Scripting) típusú sérülékenységek, majd a nem kellően ellenőrzött bemeneti adatok problémája következik. Érdekesség, hogy a veszélyességi rangilistán első helyen végzett SQL injection ezen a 25-ös toplistán "csak" a hatodik helyre került. (A nyolc évvel ezelőtti rangsorban még az élen végzett ez a típusú sebezhetőség.)
Az NVD (National Vulnerabilities Database) adatbázisát is felhasználó elemzések végül az alábbi toplistát eredményezték:
Forrás: MITRE
További információk a biztonsági hibák kategorizálásáról a MITRE weboldalán olvashatók.
-
A Moodle-ban felfedezett sebezhetőség XSS-típusú támadásokat tehet lehetővé.
-
A Cisco számos hibajavítást tett elérhetővé az IOS XR-hez.
-
Az Anchor.A trójai elsősorban azzal tud problémákat okozni, hogy egyéb károkozókat juttat fel a számítógépekre.
Az ESET nemrég kiadott egy ingyenes BlueKeep (CVE-2019-0708) eszközt annak ellenőrzésére, hogy a Windows operációs rendszert futtató számítógép védett-e a sérülékenység kihasználása ellen.
A most bemutatott eset úgy kezdődött, hogy egy felhasználó kapott egy sms-t, amely értesítette arról, hogy elveszített iPhone X készüléke milyen címen található. Az üzenetben egy link is volt, amelyre kattintva elvileg meg lehetett tekinteni a készülék helyét – a gyakorlatban viszont egy adathalász oldalhoz tartozott, amely ellopta a látogatók iCloud azonosítóit.
