25% van de webapps bevat tenminste 8 kwetsbaarheden uit OWASP Top 10
25% van alle webapplicaties is nog steeds kwetsbaar voor tenminste acht beveiligingsproblemen uit de OWASP (Open Web Application Security Project) Top 10. 80% van de applicaties bevat tenminste één beveiligingslek.
Dit blijkt uit onderzoek van Contrast Security. De OWASP Top 10 is bedoeld om veelvoorkomende beveiligingsproblemen in kaart te brengen, zodat ontwikkelaars deze gericht kunnen aanpakken. In de praktijk blijkt het echter dus nog vaak fout te gaan. De top 5 meest voorkomende kwetsbaarheden zijn volgens het beveiligingsbedrijf:
- Gevoelige data is toegankelijk (69% van de applicaties)
- Cross-site request forgery (55% van de applicaties)
- Gebrekkige authentificatie en sessiebeheer (41% van de applicaties)
- Verkeerd geconfigureerde beveiliging (37% van de applicaties)
- Het ontbreken van toegangscontrole op basis van functie (33% van de applicaties)
Zorgwekkend
In een reactie noemt Jeff Williams, CTO en medeoprichter van Contrast Security, de bevindingen uit het onderzoek zorgwekkend. Williams wijst erop dat deze kwetsbaarheden allen al ruim een decennium zijn gedocumenteerd in de OWASP Top 10. Desondanks komen de kwetsbaarheden nog steeds voor in moderne applicaties.
Het bedrijf heeft daarnaast de aanwezigheid van de verschillende kwetsbaarheden in de populaire programmeertalen Java en .NET in kaart gebracht. Hieruit blijkt dat cross-site request forgery vaker voorkomt bij Java-applicaties (69%) dan .NET-applicaties (31%). Java-applicaties (14%) hebben echter fors minder vaak te maken met verkeerd geconfigureerde beveiligingsfeatures dan .NET (73%). Dit is volgens Contrast Security vooral te danken aan het feit dat .NET-applicaties veel meer vertrouwd op configuratie dan Java-applicaties.
Code-injectie
Ook blijken .NET-applicaties (17%) minder vaak kwetsbaar te zijn voor de injectie van code dan Java-applicaties (38%). Contrast Security waarschuwt dat dit risico’s met zich meebrengt, aangezien de code-injectie als springplank voor grootschaligere cyberaanvallen kan dienen.
Meer over
Lees ook
ENISA publiceert richtlijnen voor veilige mobiele apps
Het European Agency for Network and Information Security (ENISA) publiceert een vernieuwde versie van de Smartphone Development Guidelines. In het document wordt uiteengezet hoe ontwikkelaars mobiele applicaties veiliger kunnen maken en kunnen beschermen tegen cyberaanvallen. In het vernieuwde rapport zijn nieuwe secties toegevoegd over recente o1
Schneider Electric verhelpt ernstig beveiligingsprobleem in DCIM-oplossing
Schneider Electric stelt een update beschikbaar die een ernstig beveiligingsprobleem verhelpt in de StruxureWare Data Center Expert software. Door het lek konden aanvallers op afstand gevoelige informatie inzien en toegang krijgen tot onversleutelde wachtwoorden. Het beveiligingslek is ontdekt door Positive Technologies. Aanvallers kunnen het lek1
Financiële gegevens van burgers en bedrijven onvoldoende beveiligd door Belastingdienst
De Belastingdienst blijkt financiële gegevens van 11 miljoen Nederlandse burgers en 2 miljoen bedrijven in de periode 2013 tot 2016 onvoldoende beveiligd te hebben. Door problemen met een autorisatiesysteem kan niet worden achterhaald wie de gegevens heeft ingezien. Dit meldt ZEMBLA op basis van vertrouwelijke documenten van de Belastingdienst. D1