Експерти групи компаній (ГК) «Солар» провели дослідження за 2023 рік корпоративних веб-додатків (корпоративні портали, особисті кабінети клієнтів тощо) та корпоративних мобільних додатків. Уразливості з високим рівнем критичності було виявлено у 17% корпоративних веб-додатків. Серед мобільних додатків цей показник становив 7%.

За словами ІБ-експертів, 54% усіх веб-додатків мають хоча б одну вразливість високого чи середнього ступеня критичності. У 46% цих уразливостей потенційний хакер отримував неавторизований доступ.

У рамках звіту 77% знайдених уразливостей у мобільних додатках мають високий та середній ступінь критичності. У серверній частині додатків було виявлено 94% критичних уразливостей від усіх знайдених у мобільних додатках. При цьому 75% всіх виявлених у серверній частині вразливостей були відзначені як легкі в експлуатації.

За цим звітом, у 60% усіх мобільних та 75% веб-додатків проблемами вже кілька років залишаються недоліки контролю доступу. У 73% веб-застосунків серйозною проблемою залишається розкриття налагоджувальної та конфігураційної інформації, включаючи логіни, паролі та cookie користувачів, налаштування використовуваних СУБД, внутрішні IP-адреси та інші критичі відомості. Також за звітом, 33% веб-додатків може бути зламано за допомогою атаки XSS.

У 88% всіх проникнень ІБ-фахівці успішно подолали зовнішній периметр, у 41% випадків був отриманий доступ у внутрішню мережу, а в 18% були скомпрометовані різні вузли зовнішнього периметра, у 29% випадків вдалося отримати доступ до критичних даних та зовнішніх систем та додатків , тільки в 12% випадків не вдалося отримати доступ до критичних систем та вузлів.

У рамках звіту вказано топ-5 критичних уразливостей зовнішніх периметрів: перше місце займає використання слабких паролів (53%), друге - використання ПЗ з відомими вразливістю (35%), третє - розкриття налагоджувальної та конфігураційної інформації (35%), четверте - впровадження SQL-код в запити до бази даних (29%) і п'яте займає виконання довільного коду (29%)

З повною версією звіту «Ключові вразливості інформаційних систем російських компаній» можна ознайомитись на сайті.

bbabo.Net