Kabliukas
Įprastos žiniatinklio programų rizikos klasės ir toliau yra pagrindinė gamybos saugumo incidentų priežastis [S1]. Labai svarbu anksti nustatyti šiuos trūkumus, nes dėl architektūrinės priežiūros gali atsirasti didelė duomenų arba neleistina prieiga [S2].
Kas pasikeitė
Nors konkretūs išnaudojimai vystosi, pagrindinės programinės įrangos trūkumų kategorijos išlieka nuoseklios per visus kūrimo ciklus [S1]. Šioje apžvalgoje dabartinės plėtros tendencijos susietos su 2024 m. CWE Top 25 sąrašu ir nustatytais žiniatinklio saugos standartais, kad būtų pateiktas 2026 m. [S1] [S3] kontrolinis sąrašas. Jame dėmesys sutelkiamas į sisteminius gedimus, o ne į atskirus CVE, pabrėžiant pagrindinių saugumo kontrolės priemonių svarbą [S2].
Kas yra paveiktas
Bet kuri organizacija, diegianti viešąsias žiniatinklio programas, gali susidurti su šiomis bendromis silpnybių klasėmis [S1]. Komandos, kurios remiasi sistemos numatytaisiais nustatymais be rankinio prieigos kontrolės logikos patikrinimo, yra ypač pažeidžiamos autorizavimo spragų [S2]. Be to, programoms, kuriose nėra modernių naršyklės saugos valdiklių, kyla didesnė kliento pusės atakų ir duomenų perėmimo rizika. [S3].
Kaip veikia problema
Saugos gedimai paprastai kyla dėl praleisto arba netinkamai įdiegto valdymo, o ne dėl vienos kodavimo klaidos [S2]. Pavyzdžiui, nepatvirtinus vartotojo teisių kiekviename API galiniame taške, atsiranda prieigos spragų, leidžiančių horizontaliai arba vertikaliai padidinti privilegijas [S2]. Panašiai, jei neatsižvelgiama į modernių naršyklės saugos funkcijų įdiegimą arba nesugebama išvalyti įvesties, atsiranda gerai žinomi įterpimo ir scenarijaus vykdymo keliai [S1] [S3].
Ką gauna užpuolikas
Šios rizikos poveikis priklauso nuo konkretaus valdymo gedimo. Užpuolikai gali pasiekti naršyklės scenarijaus vykdymą arba išnaudoti silpną perdavimo apsaugą, kad perimtų neskelbtinus duomenis. [S3]. Sugedus prieigos kontrolei, užpuolikai gali gauti neteisėtą prieigą prie jautrių vartotojo duomenų arba administracinių funkcijų [S2]. Pavojingiausios programinės įrangos trūkumai dažnai sukelia visišką sistemos kompromisą arba didelio masto duomenų išfiltravimą [S1].
Kaip FixVibe tai tikrina
FixVibe dabar apima šį kontrolinį sąrašą per atpirkimo ir žiniatinklio patikras. code.web-app-risk-checklist-backfill apžvalgos GitHub repo, skirtos įprastiems žiniatinklio programų rizikos modeliams, įskaitant neapdorotą SQL interpoliaciją, nesaugią HTML įtraukimą, leistiną CORS, išjungtą TLS patvirtinimą, tik dekodavimo ZXCVFIXX, VIZBV naudojimą silpnai JWT slapti atsarginiai variantai. Susiję tiesioginiai pasyvūs ir aktyvūs moduliai apima antraštes, CORS, CSRF, SQL įterpimą, autentifikavimo srautą, žiniatinklio kabliukus ir atskleistas paslaptis.
Ką taisyti
Sušvelninti reikia daugiasluoksnio požiūrio į saugumą. Kūrėjai turėtų teikti pirmenybę programos kodo peržiūrai didelės rizikos silpnumo klasėms, nurodytoms CWE Top 25, pvz., įpurškimo ir netinkamo įvesties patvirtinimo [S1]. Siekiant užkirsti kelią neteisėtai prieigai prie duomenų [S2], labai svarbu vykdyti griežtus serverio prieigos kontrolės patikrinimus kiekvienam apsaugotam ištekliui. Be to, komandos turi įdiegti tvirtą transporto apsaugą ir naudoti modernias žiniatinklio saugos antraštes, kad apsaugotų vartotojus nuo kliento pusės atakų [S3].