Μια νέα αναφορά από την Skybox Security που εδρεύει στην Καλιφόρνια αναφέρει ότι αφού μέχρι στιγμής έχουν υπάρξει 9.799 μοναδικές ευπάθειες μόνο το πρώτο εξάμηνο του 2020, μέχρι το τέλος του έτους θα έχουμε φτάσει στο ρεκόρ των 20.000 τρωτών σημείων.
Ο πρώτος μισός όγκος των αναφορών ευπάθειας ασφάλειας λογισμικού έχει αύξηση 34% σε σχέση με τις 7.318 πέρυσι. Είναι, αναμφισβήτητα, καλά νέα, που αντικατοπτρίζουν την αυξημένη προσπάθεια που καταβάλλεται στην έρευνα σχετικά με τις ευπάθειες.
Από τα πέντε νέα προϊόντα της παραπάνω λίστας, τρία είναι επιχειρηματικές εφαρμογές (IBM API Connect, Red Hat OpenShift, Oracle E – Business Suite). Τα άλλα δύο – Edge Chromium και iPad OS – συνήθως αναπτύσσονται σε σταθμούς εργασίας, οικιακά και εμπορικά περιβάλλοντα, που αναδύονται από το «ανύπαρκτο» για να γίνουν αυτό που η Skybox περιγράφει ως «αδύναμα σημεία που αναζητούν τα patches» και απαιτούν την προσοχή του διαχειριστή.
Οι ευπάθειες κρίσιμης σοβαρότητας αποτελούν το 15% όλων των νέων αναφορών, σημειώνει η Skybox.
Neuralink: Έγκριση FDA για επαναστατική συσκευή Blindsight
Και ενώ τα κρίσιμα σφάλματα – όπως εκείνα που έλαβαν την μέγιστη βαθμολογία 10,0 στο πλαίσιο CVSS (ένας τρόπος αξιολόγησης των χαρακτηριστικών και της σοβαρότητας των τρωτών σημείων του λογισμικού) – λαμβάνουν μεγάλη προσοχή, καταλήγουν να είναι επίκινδυνα καθώς προσεγγίζονται γενικά, σημειώνει η εταιρεία ασφαλείας.
«Παρόλο που οι οργανισμοί έχουν την τάση να δίνουν προτεραιότητα στην αποκατάσταση κρίσιμων ευπαθειών … αυτή η γενική προσέγγιση για την ιεράρχηση θα μπορούσε να επιτρέψει στους επιτιθέμενους να επωφεληθούν από τυχόν εκτεθειμένες ευπάθειες μεσαίας σοβαρότητας.»
“Οι εγκληματίες γνωρίζουν ότι τα ελαττώματα μεσαίας σοβαρότητας μπορούν να παραμείνουν unpached στα συστήματα ενός οργανισμού για μεγάλο χρονικό διάστημα και ανάλογα με το πού υπάρχουν αυτά τα ελαττώματα, θα μπορούσαν να δώσουν στον εισβολέα πρόσβαση σε ένα κρίσιμο σημείο του συστήματος ή να του επιτρέψει την πλευρική κίνηση.”
Τα προγράμματα ασφαλείας πρέπει να έχουν καθιερωμένες διαδικασίες για να «ενημερώνονται οι ευπαθείες με βάση την έκθεση, την εκμεταλλευσιμότητα και άλλους παράγοντες για να διατηρείται η αποκατάσταση επικεντρωμένη σε κρίσιμους κινδύνους», αναφέρει η Skybox. Συνεχίζει λέγοντας:« Εάν ένα πρόγραμμα ασφαλείας βασίζει την προτεραιότητα ευπάθειας αποκλειστικά στις βαθμολογίες CVSS, θα μπορούσε να σπαταλήσει πόρους επιδιορθώνοντας ένα ευάλωτο στοιχείο που προστατεύεται από layers σε επίπεδα άμυνας και να μην ενημερώσει κάποια ευπάθεια μεσαίας σοβαρότητας.”
