Kwart van de webapps bevat minste 8 kwetsbaarheden uit OWASP Top 10
25% van alle webapplicaties is nog steeds kwetsbaar voor tenminste acht beveiligingsproblemen uit de OWASP (Open Web Application Security Project) Top 10. 80% van de applicaties bevat tenminste één beveiligingslek.
Dit blijkt uit onderzoek van Contrast Security. De OWASP Top 10 is bedoeld om veelvoorkomende beveiligingsproblemen in kaart te brengen, zodat ontwikkelaars deze gericht kunnen aanpakken. In de praktijk blijkt het echter dus nog vaak fout te gaan. De top 5 meest voorkomende kwetsbaarheden zijn volgens het beveiligingsbedrijf:
- Gevoelige data is toegankelijk (69% van de applicaties)
- Cross-site request forgery (55% van de applicaties)
- Gebrekkige authentificatie en sessiebeheer (41% van de applicaties)
- Verkeerd geconfigureerde beveiliging (37% van de applicaties)
- Het ontbreken van toegangscontrole op basis van functie (33% van de applicaties)
Zorgwekkend
In een reactie noemt Jeff Williams, CTO en medeoprichter van Contrast Security, de bevindingen uit het onderzoek zorgwekkend. Williams wijst erop dat deze kwetsbaarheden allen al ruim een decennium zijn gedocumenteerd in de OWASP Top 10. Desondanks komen de kwetsbaarheden nog steeds voor in moderne applicaties.
Het bedrijf heeft daarnaast de aanwezigheid van de verschillende kwetsbaarheden in de populaire programmeertalen Java en .NET in kaart gebracht. Hieruit blijkt dat cross-site request forgery vaker voorkomt bij Java-applicaties (69%) dan .NET-applicaties (31%). Java-applicaties (14%) hebben echter fors minder vaak te maken met verkeerd geconfigureerde beveiligingsfeatures dan .NET (73%). Dit is volgens Contrast Security vooral te danken aan het feit dat .NET-applicaties veel meer vertrouwd op configuratie dan Java-applicaties.
Code-injectie
Ook blijken .NET-applicaties (17%) minder vaak kwetsbaar te zijn voor de injectie van code dan Java-applicaties (38%). Contrast Security waarschuwt dat dit risico’s met zich meebrengt, aangezien de code-injectie als springplank voor grootschaligere cyberaanvallen kan dienen.
Dossiers
Meer over
Lees ook
WordPress verhelpt kritiek XSS-lek
Opnieuw is een beveiligingsupdate uitgebracht voor WordPress. WordPress 4.2.2 verhelpt twee cross-site scripting (XSS)-lekken. Met één van deze lekken kon een website door onbevoegden volledig worden overgenomen. In 4.2.1 werd het kritiek XSS-lek ook al gedicht, maar 4.2.2 is nodig om de reparatie volledig af te ronden. Het tweede lek dat in 4.2.21
Bitdefender beveiligt IoT-apparaten met BOX
Bitdefender introduceert BOX, all-in-one oplossing die Internet-of-Things (IoT)-gebruikers bescherming biedt. Het internetverkeer van alle IoT-apparaten wordt via BOX geleidt, waardoor de oplossing dit verkeer kan controleren op dreigingen en deze indien nodig kan blokkeren. Het IoT gaat naar verwachting de komende jaren een steeds belangrijkere r1
Zombie apps zijn beveiligingsrisico voor bedrijven
Zombie apps vormen een flink beveiligingsrisico’s voor bedrijven. Zombie apps zijn apps die nog wel op een smartphone of tablet van een werknemer staan, maar niet meer worden ondersteund door de ontwikkelaar. De apps krijgen geen updates meer en kunnen dan ook beveiligingsgaten bevatten. Hiervoor waarschuwt Domingo Guerra, directeur van Appthority1