25% van de webapps bevat tenminste 8 kwetsbaarheden uit OWASP Top 10
25% van alle webapplicaties is nog steeds kwetsbaar voor tenminste acht beveiligingsproblemen uit de OWASP (Open Web Application Security Project) Top 10. 80% van de applicaties bevat tenminste één beveiligingslek.
Dit blijkt uit onderzoek van Contrast Security. De OWASP Top 10 is bedoeld om veelvoorkomende beveiligingsproblemen in kaart te brengen, zodat ontwikkelaars deze gericht kunnen aanpakken. In de praktijk blijkt het echter dus nog vaak fout te gaan. De top 5 meest voorkomende kwetsbaarheden zijn volgens het beveiligingsbedrijf:
- Gevoelige data is toegankelijk (69% van de applicaties)
- Cross-site request forgery (55% van de applicaties)
- Gebrekkige authentificatie en sessiebeheer (41% van de applicaties)
- Verkeerd geconfigureerde beveiliging (37% van de applicaties)
- Het ontbreken van toegangscontrole op basis van functie (33% van de applicaties)
Zorgwekkend
In een reactie noemt Jeff Williams, CTO en medeoprichter van Contrast Security, de bevindingen uit het onderzoek zorgwekkend. Williams wijst erop dat deze kwetsbaarheden allen al ruim een decennium zijn gedocumenteerd in de OWASP Top 10. Desondanks komen de kwetsbaarheden nog steeds voor in moderne applicaties.
Het bedrijf heeft daarnaast de aanwezigheid van de verschillende kwetsbaarheden in de populaire programmeertalen Java en .NET in kaart gebracht. Hieruit blijkt dat cross-site request forgery vaker voorkomt bij Java-applicaties (69%) dan .NET-applicaties (31%). Java-applicaties (14%) hebben echter fors minder vaak te maken met verkeerd geconfigureerde beveiligingsfeatures dan .NET (73%). Dit is volgens Contrast Security vooral te danken aan het feit dat .NET-applicaties veel meer vertrouwd op configuratie dan Java-applicaties.
Code-injectie
Ook blijken .NET-applicaties (17%) minder vaak kwetsbaar te zijn voor de injectie van code dan Java-applicaties (38%). Contrast Security waarschuwt dat dit risico’s met zich meebrengt, aangezien de code-injectie als springplank voor grootschaligere cyberaanvallen kan dienen.
Meer over
Lees ook
Britse cybercrimineel voorkomt vervolging door deal met slachtoffer
Een man uit de Britse hoofdstad Londen is opgepakt voor betrokkenheid bij een cyberaanval op een organisatie uit het Britse Derbyshire wordt niet vervolgd. De man heeft een deal gesloten met de organisatie die hij heeft aangevallen. De aanvaller gaat het slachtoffer helpen diens IT-beveiliging te verbeteren. De 24-jarige man werd opgepakt door de1
FTC sleept D-Link voor de rechter wegens slechte beveiliging camera’s en routers
De Taiwanese fabrikant van netwerkapparatuur D-Link is aangeklaagd door de Amerikaanse Federal Trade Commission (FTC). De FTC stelt dat D-Link routers en IP-camera’s die het levert aan consumenten onvoldoende heeft beschermd om de privacy en veiligheid van klanten te waarborgen. De maatregel van de FTC is onderdeel van een campagne die de organisa1
Qualys en Infoblox integreren Infoblox DDI-technologie met Qualys Cloud Platform
Infoblox en Qualys, leverancier van cloudbeveiligings- en compliance-oplossingen, gaan een samenwerking aan. Samen voorzien de organisaties klanten van uitgebreid netwerkinzicht om hen te wapenen tegen besmettingen, assetmanagement te automatiseren, bedreigingen sneller aan te pakken en compliance en auditing te vereenvoudigen. Bedrijfsnetwerken worden steeds complexer en maken gebruik van verschillende architecturen, waaronder fysieke, virtuele en private/public clouds. Vanwege de snelle opkomst van het Internet of Things (IoT) verwachten analisten dat er in 2020 34 miljard apparaten met het1