Kwart van de webapps bevat minste 8 kwetsbaarheden uit OWASP Top 10
25% van alle webapplicaties is nog steeds kwetsbaar voor tenminste acht beveiligingsproblemen uit de OWASP (Open Web Application Security Project) Top 10. 80% van de applicaties bevat tenminste één beveiligingslek.
Dit blijkt uit onderzoek van Contrast Security. De OWASP Top 10 is bedoeld om veelvoorkomende beveiligingsproblemen in kaart te brengen, zodat ontwikkelaars deze gericht kunnen aanpakken. In de praktijk blijkt het echter dus nog vaak fout te gaan. De top 5 meest voorkomende kwetsbaarheden zijn volgens het beveiligingsbedrijf:
- Gevoelige data is toegankelijk (69% van de applicaties)
- Cross-site request forgery (55% van de applicaties)
- Gebrekkige authentificatie en sessiebeheer (41% van de applicaties)
- Verkeerd geconfigureerde beveiliging (37% van de applicaties)
- Het ontbreken van toegangscontrole op basis van functie (33% van de applicaties)
Zorgwekkend
In een reactie noemt Jeff Williams, CTO en medeoprichter van Contrast Security, de bevindingen uit het onderzoek zorgwekkend. Williams wijst erop dat deze kwetsbaarheden allen al ruim een decennium zijn gedocumenteerd in de OWASP Top 10. Desondanks komen de kwetsbaarheden nog steeds voor in moderne applicaties.
Het bedrijf heeft daarnaast de aanwezigheid van de verschillende kwetsbaarheden in de populaire programmeertalen Java en .NET in kaart gebracht. Hieruit blijkt dat cross-site request forgery vaker voorkomt bij Java-applicaties (69%) dan .NET-applicaties (31%). Java-applicaties (14%) hebben echter fors minder vaak te maken met verkeerd geconfigureerde beveiligingsfeatures dan .NET (73%). Dit is volgens Contrast Security vooral te danken aan het feit dat .NET-applicaties veel meer vertrouwd op configuratie dan Java-applicaties.
Code-injectie
Ook blijken .NET-applicaties (17%) minder vaak kwetsbaar te zijn voor de injectie van code dan Java-applicaties (38%). Contrast Security waarschuwt dat dit risico’s met zich meebrengt, aangezien de code-injectie als springplank voor grootschaligere cyberaanvallen kan dienen.
Dossiers
Meer over
Lees ook
Staatsgeheim - boek van Maarten Oberman
Intro: Veertig jaar geleden kreeg ik van mijn vader de documentatie van het eerste naoorlogse crypto-apparaat. Hij had dat systeem in de jaren 1947 – 1949 gemaakt. De documentatie van dat systeem heb ik jarenlang bewaard, omdat hij had aangegeven dat het later erg interessant zou zijn. Het was indertijd Staatsgeheim en daardoor was er nooit over g1
Qualys introduceert geavanceerde herstelopties om risico’s van kwetsbaarheden te beperken
Qualys voegt vandaag Advanced Remediation toe aan het Qualys Cloud Platform. Organisaties kunnen door deze geavanceerde herstelopties, naast het patchen van besturingssystemen en applicaties van derden en het implementeren van aangepaste software, nu ook misconfiguraties van IT-middelen verhelpen.
C2 Transfer: veilige bestandsoverdracht voor bedrijven en teams
Synology heeft de beschikbaarheid van C2 Transfer aangekondigd, een nieuwe cloudoplossing voor veilige overdracht van bestanden tussen bedrijven en hun klanten, partners en andere externe partijen.