ТОР10 уязвимостей в веб-приложениях в 2021–2023 годах
«Лаборатория Касперского» представила новый отчёт, посвящённый десяти наиболее распространённым уязвимостям в веб-приложениях за период с 2021 по 2023 год. Исследование проводилось с учётом приложений, которые использовались преимущественно российскими, китайскими и ближневосточными организациями.
В отчёте отмечается, что около 44% исследуемых веб-приложений были написаны на языке Java, на втором и третьих местах находятся NodeJS (17%) и PHP (12%). При этом около 39% проанализированных приложений использовали микросервисную архитектуру.
Информация для исследования была получена аналитиками «Лаборатории Касперского» за счёт анализа web-приложений тремя методами: белого, серого и чёрного ящика. Практически все исследуемые веб-приложения, которые тестировали методом серого ящика, специалисты также проанализировали методом чёрного ящика, поэтому в общей статистике были объединены результаты по этим двум подходам. В связи с этим, практически все проекты по анализу защищённости веб-приложений было выполнено методом серого и чёрного ящиков.
Для определения самых распространённых и критических уязвимостей аналитики «Лаборатории Касперского» провели анализ результатов проектов по анализу защищённости в приложении за последний 3-летний период.
В итоге, «Лаборатория Касперского» представила следующую десятку уязвимостей в приложениях:
- Недостатки контроля доступа.
- Раскрытие чувствительной информации.
- Подделка межсерверных запросов (SSRF).
- Внедрение операторов SQL.
- Межсайтовое выполнение сценариев (XSS).
- Недостатки аутентификации.
- Недостатки конфигурации.
- Недостаточная защита от перебора пароля.
- Слабый пароль пользователя.
- Использование компонентов с известными уязвимостями.
По словам аналитиков, представленный рейтинг выступает в качестве экспертного заключения, который базируется на том, как много веб-приложений содержит определённую уязвимость и насколько критично воздействие этой ошибки на приложение.
С полной версией отчёта «Лаборатории Касперского» можно ознакомиться по следующей ссылке.
