Menu

SANS 20 principais vulnerabilidades de segurança em aplicativos de software

  • Principal
  • Outro
  • SANS 20 principais vulnerabilidades de segurança em aplicativos de software

sans top 20 security vulnerabilities software applications

Experimente Nosso Instrumento Para Eliminar Problemas

Aprenda e entenda as 20 principais vulnerabilidades críticas de segurança em aplicativos de software do SANS com exemplos neste tutorial:

A palavra SEM não é apenas uma palavra comum do dicionário; ela representa SysAdmin , Auditoria , Rede , e Segurança .

Neste tutorial, aprenderemos sobre os 20 principais pontos fracos de segurança do SANS que podemos encontrar em programas de software e o que podemos fazer para atenuá-los.

Vulnerabilidades de segurança SANS

O que você aprenderá:

Impacto de SANs na comunidade de segurança cibernética

De acordo com SEM , a SEM O Instituto foi estabelecido como uma organização de pesquisa e educação. Seus vários programas de segurança são muito abrangentes e estão tendo um efeito positivo em mais de 165.000 profissionais de segurança em todo o mundo.

Podemos dizer com razão que, com esse tipo de cobertura proveniente do SANS e outras análises positivas que obtêm, eles são os mais confiáveis ​​e, de longe, a maior organização de treinamento em InfoSec e várias certificações de segurança do mundo.

Este artigo se concentrará nos 20 principais erros do SANS que podem tornar seu software vulnerável a ataques e alguns dos controles de segurança que você pode implementar para mitigar esses erros. Embora possamos encontrar mais de 20, discutiremos as 20 principais vulnerabilidades.

Lista das 20 principais vulnerabilidades críticas de SANS em software

  1. CWE-119 : Erro de Buffer de Memória
  2. CWE-79 : Scripts entre sites
  3. CWE-20 : Erro de entrada não validado
  4. CWE-200 : Erro de exposição de informações confidenciais
  5. CWE-125 : Erro de leitura fora dos limites
  6. CWE-89 : Injeção SQL
  7. CWE-416 : Erro de memória livre
  8. CWE-190 : Erro de estouro de número inteiro
  9. CWE-352 : Falsificação de solicitação entre sites
  10. CWE-22 : Directory Traversal
  11. CWE-78 : Injeção de comando do sistema operacional
  12. CWE-787 : Erro de gravação fora dos limites
  13. CWE-287 : Erro de autenticação imprópria
  14. CWE-476 : Dereferencing NULL Pointer
  15. CWE-732 : Atribuição de permissão incorreta
  16. CWE-434 : Upload de arquivo irrestrito
  17. CWE-611 : Exposição de informações por meio de entidades XML
  18. CWE-94 : Injeção de código
  19. CWE-798 : Chave de acesso embutida
  20. CWE-400 : Consumo descontrolado de recursos

O que significa o termo CWE?

O Enumeração de fraqueza comum (CWE) é uma lista aceita pela comunidade de vulnerabilidades de software e hardware com código de identificação atribuído a cada vulnerabilidade. O objetivo é identificar várias falhas de software e hardware para poder consertar e mitigar todas essas falhas.

# 1) CWE-119: Erro de buffer de memória

Essa falha geralmente é introduzida durante os estágios de Arquitetura e Projeto, Implementação e Operação do SDLC.

Esse estouro de buffer ocorre quando um processo de aplicativo tenta armazenar mais dados do que pode conter na memória. Como os buffers só podem armazenar algum nível de dados e, quando esse nível é atingido e excedido, os dados fluem para outro local da memória, o que pode corromper os dados já contidos naquele buffer.

Esse incidente às vezes acontece acidentalmente por meio de algum erro de programação, mas o efeito colateral pode ser desastroso, pois isso pode apagar dados, roubar informações confidenciais e até mesmo todo o aplicativo pode travar devido a esse estouro de buffer.

O exemplo abaixo mostra um buffer alocado com 8 bytes de armazenamento. Mas estourou em 2 bytes por causa de mais dados enviados para execução.

Erro de buffer de memória

(imagem fonte )

como executo um arquivo jar

# 2) CWE-79: script entre sites

Cross-site Scripting (XSS) é um ataque de injeção que geralmente ocorre quando um agente mal-intencionado ou um invasor injeta um script malicioso ou prejudicial em um aplicativo da web que pode ser executado através dos navegadores da web. Uma vez que o script malicioso encontra seu caminho no sistema comprometido, ele pode ser usado para executar diferentes atividades maliciosas.

Algumas das atividades maliciosas podem ser na forma de transferência de informações privadas, como cookies que contêm as informações da sessão do computador da vítima para o computador do invasor.

Ocorrência de script entre sites:

  • Quando dados não validados e não confiáveis ​​são inseridos em um aplicativo da web por meio da solicitação de formulário da web.
  • Quando o aplicativo da web gera instantaneamente uma página da web que contém esses dados maliciosos.
  • Durante o processo de geração de uma página, o software falha ao validar os dados, que hospedam o conteúdo que pode ser executado por um navegador da web, como HTML e JavaScript.
  • A vítima, sem saber, visita a página que foi gerada por meio de um navegador da web, que hospeda o script malicioso que foi injetado por meio do uso de dados não confiáveis.
  • O script malicioso vem de uma página que foi enviada pelo servidor da web do invasor, o navegador do sistema comprometido, em seguida, prossegue para processar o script malicioso.
  • Esta ação viola a política do navegador da web sobre a mesma origem, que estipula que os scripts provenientes de um domínio não devem ter acesso a recursos ou executar código em outro domínio diferente, exceto seu próprio domínio.

Ocorrência de cross-site scripting

(imagem fonte )

# 3) CWE-20: Erro de entrada não validado

O aplicativo recebe a entrada, mas falha ao validar a entrada, se ela possui todos os detalhes necessários para que seja aceita no sistema para processamento.

Quando há sanitização de entrada, isso pode ser usado para verificar quaisquer entradas potencialmente perigosas, a fim de garantir que as entradas sejam seguras para serem processadas com o código-fonte ou quando é uma entrada necessária para se comunicar com outros componentes.

Quando essas entradas não são devidamente higienizadas ou validadas, isso abre caminho para que um invasor envie uma entrada maliciosa que o aplicativo principal irá processar generosamente e isso levará a mudanças no fluxo de controle, controle arbitrário de um recurso ou código arbitrário execução.

As imagens abaixo mostram que um bom aplicativo não deve aceitar script ou comando como entrada. Se essas entradas não forem devidamente higienizadas, o aplicativo irá processá-las pensando que é uma solicitação válida.

entrada

Erro de entrada não validado

(imagem fonte )

# 4) CWE-200: Erro de exposição de informações confidenciais

Isso acontece quando o aplicativo, consciente e inconscientemente, expõe informações confidenciais a um invasor que não tem autorização para acessar essas informações.

Erros diferentes fazem com que essas informações sejam expostas a um invasor. A gravidade desse erro varia de acordo com o contexto em que o aplicativo opera, o tipo de informação sensível que é revelada e o que o ator pode ganhar com a informação exposta.

Abaixo estão algumas informações confidenciais que podem ser expostas:

  • Informações pessoais, como mensagens pessoais, dados financeiros, registros do estado de saúde, localização geográfica ou detalhes de contato
  • Detalhes de configuração do sistema e ambiente, por exemplo, o sistema operacional e pacotes instalados
  • Registro comercial e propriedade intelectual
  • Detalhes de configuração de rede
  • Estado do aplicativo interno
  • Metadados como cabeçalhos de mensagens

Às vezes, pode haver coceiras técnicas, como erro de conectividade de banco de dados, erro de tempo de execução e erro de rede em nossos aplicativos ou sites.

Se esses erros não forem tratados adequadamente durante o desenvolvimento, ou seja, quando o aplicativo exibir a mensagem de erro, ele poderá exibir informações ao público que um invasor pode usar para fins maliciosos, como a imagem abaixo.

erro de servidor

# 5) CWE-125: Erro de leitura fora dos limites

Isso geralmente ocorre quando o aplicativo lê dados além do nível normal, até o final ou antes do início do buffer. Isso dá acesso sem privilégios a um invasor para ler informações confidenciais de outros locais de memória, o que também pode levar a um travamento do sistema ou aplicativo.

Uma falha irá certamente acontecer quando o código ler os dados e achar que existe um indicador no lugar que interrompe a operação de leitura como um NULL que é aplicado a uma string

No código a seguir, a função recupera um valor de um local de índice de matriz, que por sua vez é o parâmetro de entrada para a função.

Erro de leitura fora dos limites

(imagem fonte )

No código acima, podemos ver que a função verifica se o índice do array fornecido é menor do que o comprimento máximo do array, mas falha ao validar o valor mínimo.

Essa não-validação levará à aceitação de um valor negativo como um índice de matriz de entrada, causando uma leitura fora dos limites, que por sua vez dá acesso à memória sensível.

É necessário verificar o índice da matriz de entrada se ele está dentro da faixa máxima e mínima exigida para a matriz.

Se você verificar o exemplo abaixo, verá que a instrução IF precisa ser modificada para incluir uma validação de intervalo mínimo.

validação de alcance mínimo

# 6) CWE-89: injeção de SQL

injeção SQL é uma forma de vulnerabilidade de segurança em que o invasor injeta um código de Structured Query Language (SQL) na caixa de entrada do formulário da Web para obter acesso a recursos ou alterar dados que não estão autorizados a acessar.

html e css entrevista perguntas e respostas

Essa vulnerabilidade pode ser introduzida no aplicativo durante os estágios de design, implementação e operação.

O que essa consulta SQL faz é fazer uma solicitação não autorizada ao banco de dados por algumas informações. Em uma operação de entrada normal, um formulário da Web é usado para autenticação do usuário. Quando um usuário insere seu nome e senha nas caixas de texto, esses valores são inseridos em uma consulta SELECT.

Se os valores de entrada estiverem corretos, o usuário terá acesso ao aplicativo ou solicitação, mas se os valores estiverem incorretos, o acesso será negado.

Hoje, alguns formulários da Web não possuem mecanismos para bloquear entradas maliciosas; um invasor pode usar as caixas de entrada para enviar solicitações maliciosas ao banco de dados. Essa única solicitação pode conceder a eles acesso a todo o banco de dados que pode conter informações confidenciais.

Injeção SQL

# 7) CWE-416: Memória previamente liberada

Esse problema é causado pela referência à memória depois que ela foi lançada, o que pode levar a uma falha grave do programa. Quando você usa uma memória previamente liberada, isso pode ter consequências adversas, como corrupção de dados válidos, execução arbitrária de código que depende do tempo da falha.

Duas causas comuns são:

  • Condições de erro no software e em alguns outros casos excepcionais.
  • Nenhuma explicação sobre qual parte do programa causou a memória livre.

Nesse caso, a memória é alocada para outro ponteiro imediatamente após sua liberação. O ponteiro anterior para a memória liberada é usado novamente e agora aponta para algum lugar próximo à nova alocação. No momento em que os dados são alterados, isso pode corromper a memória usada e fazer com que o aplicativo se comporte de forma indefinida.

# 8) CWE-190: Erro de estouro de número inteiro

Quando um cálculo é processado por um aplicativo e há uma suposição lógica de que o valor resultante será maior do que o valor exato, ocorre o estouro de inteiro. Aqui, um valor inteiro aumenta para um valor que não pode ser armazenado em um local.

Quando isso acontece, o valor geralmente é quebrado para se tornar um valor muito pequeno ou negativo. Se a embalagem for esperada, tudo bem, mas pode haver consequências de segurança se a embalagem for inesperada. Quando esse cenário ocorre, ele pode ser considerado crítico, pois o resultado é usado para gerenciar looping, decisão de segurança, usado para alocar memória e muito mais.

Essa fraqueza geralmente leva a um comportamento errático e pode levar a travamentos. Se o valor for importante para os dados do que para o fluxo, pode ocorrer uma corrupção de dados simples. Mas se a reversão levar a outras condições, como estouros de buffer, pode ocorrer corrupção de memória.

Esse problema pode disparar estouros de buffer, que podem ser usados ​​para executar código arbitrário por um invasor. Esse erro de estouro de número inteiro geralmente é introduzido no sistema durante os estágios de projeto e implementação do SDLC.

IntegerOverflow

# 9) CWE-352: Falsificação de solicitação entre sites

Isso ocorre quando um aplicativo da Web não verifica suficientemente a solicitação HTTP, se a solicitação realmente veio do usuário certo ou não. Os servidores web são projetados para aceitar todas as solicitações e dar uma resposta a elas.

Vamos supor que um cliente envie várias solicitações HTTP em uma ou várias sessões. É muito difícil para um servidor da web saber se todas as solicitações são autênticas ou não, e geralmente é processado. Um invasor pode forçar um cliente a visitar uma página da Web especialmente criada e agora ser capaz de realizar algumas solicitações como transferência de fundos, alteração de endereço de e-mail e muito mais.

Imediatamente, um invasor tem acesso e será capaz de roubar dados e até mesmo destruir dados. Eles sempre podem manter seu acesso e, quando terminarem, podem comprometer o log de auditoria para evitar qualquer investigação forense futura que possa expor sua exploração.

A imagem abaixo mostra um invasor induzindo um usuário a executar ações que não pretende executar.

CrossSite

# 10) CWE-22: Análise de diretório

A passagem de diretório ou passagem de caminho de arquivo é uma vulnerabilidade de segurança da Web que permite que um invasor leia arquivos arbitrários no servidor que está executando um aplicativo.

Esses arquivos podem ser um código de aplicativo, credenciais para sistemas back-end e arquivos do sistema operacional. Em algum outro cenário, um invasor pode ser capaz de gravar nesses arquivos arbitrários no servidor, o que pode permitir que ele modifique os dados ou o comportamento do aplicativo, e isso dará a ele o controle total do servidor.

Travessia

(imagem fonte )

# 11) CWE-78: injeção de comando do sistema operacional

É sobre a higienização inadequada de elementos especiais que podem levar à modificação do comando pretendido do sistema operacional que é enviado a um componente downstream. Um invasor pode executar esses comandos maliciosos em um sistema operacional de destino e pode acessar um ambiente no qual eles não deveriam ler ou modificar.

Isso invariavelmente permitiria que um invasor executasse comandos perigosos diretamente no sistema operacional.

Sempre que essa vulnerabilidade ocorre em um programa privilegiado, ela permite que o invasor use comandos permitidos no ambiente ou chame outros comandos com privilégios que o invasor não possui, o que pode aumentar a quantidade de danos que podem ocorrer.

CommandInjection

# 12) CWE-787: Erro de gravação fora dos limites

Isso acontece quando o aplicativo grava dados após o final ou antes do início do buffer designado.

Quando isso acontece, o resultado final é geralmente corrupção de dados, sistema ou falha do aplicativo. O que o aplicativo faz é algum tipo de aritmética de ponteiro usado para fazer referência a um local de memória fora dos limites do buffer.

# 13) CWE-287: Erro de autenticação imprópria

É quando um invasor afirma ter uma identidade válida, mas o software não conseguiu verificar ou prova que a afirmação está correta.

Um software valida as informações de login de um usuário de maneira incorreta e, como resultado, um invasor pode obter certos privilégios dentro do aplicativo ou divulgar informações confidenciais que lhes permitem acessar dados confidenciais e executar códigos arbitrários.

# 14) CWE-476: Desreferenciando um ponteiro NULL

Desreferenciar um ponteiro nulo é quando o aplicativo desreferencia um ponteiro que deveria retornar um resultado válido, em vez disso retorna NULL e isso leva a uma falha. A anulação da referência de um ponteiro nulo pode ocorrer por meio de muitas falhas, como condições de corrida e alguns erros de programação.

Os processos que são executados com o auxílio do ponteiro NULL geralmente levam ao fracasso, e a possibilidade de realização do processo é muito pequena. Isso ajuda os invasores a executar códigos maliciosos.

Ponteiro nulo

(imagem fonte )

# 15) CWE-732: Atribuição de permissão incorreta

Essa vulnerabilidade ocorre quando um aplicativo atribui permissões a um recurso muito importante e crítico de uma maneira que expõe o recurso a ser acessado por um usuário mal-intencionado.

Quando você dá permissão para um recurso a muitas pessoas, isso pode fazer com que informações confidenciais sejam expostas ou modificadas por um invasor. Se não houver verificações em vigor contra esse tipo de abordagem para atribuição de permissão a recursos, isso pode levar a um fim desastroso se uma configuração de programa ou alguns dados confidenciais caírem nas mãos erradas.

# 16) CWE-434: Upload de arquivo irrestrito

Esta vulnerabilidade ocorre quando o aplicativo não valida os tipos de arquivo antes de carregá-los no aplicativo. Esta vulnerabilidade independe da linguagem, mas geralmente ocorre em aplicativos escritos em linguagem ASP e PHP.

Um tipo de arquivo perigoso é aquele que pode ser processado automaticamente no ambiente do aplicativo.

O programa a seguir mostra o upload de um arquivo PHP. O tipo de arquivo não foi verificado e validado antes do upload no diretório webroot. Como resultado dessa fraqueza, um invasor pode carregar um arquivo PHP arbitrário e executá-lo acessando diretamente o arquivo carregado.

upload de um arquivo PHP

arquivo PHP arbitrário

# 17) CWE-611: Exposição de informações por meio de entidades XML

Quando um documento XML é carregado em um aplicativo para processamento e este documento contém entidades XML com identificador de recurso uniforme que resolve para outro documento em outro local diferente do local pretendido. Esta anomalia pode fazer com que o aplicativo anexe documentos incorretos em sua saída.

Os documentos XML às vezes contêm uma Definição de Tipo de Documento (DTD), que é usada para definir as entidades XML e outros recursos. Por meio do DTD, o identificador uniforme de recursos pode servir como uma forma de string de substituição. O que o analisador XML fará é acessar o que está contido no identificador de recurso uniforme e inserir esse conteúdo de volta no documento XML para execução.

InfoExposure

(imagem fonte )

# 18) CWE-94: Injeção de código

A existência de sintaxe de código nos dados do usuário aumenta a possibilidade do invasor de alterar o comportamento de controle planejado e executar código arbitrário. Essa vulnerabilidade é conhecida como “pontos fracos de injeção” e pode fazer com que um controle de dados se torne controlado pelo usuário.

Esta vulnerabilidade descreve um cenário em que o software permite que dados não confiáveis ​​sejam inseridos no código e não executa a validação de caracteres especiais que podem influenciar negativamente o comportamento do segmento de código e a sintaxe.

Resumindo, um invasor seria capaz de injetar algum tipo de código arbitrário e executá-lo no aplicativo. O código PHP a seguir mostra o uso da função eval () em dados não confiáveis. No código abaixo, um invasor é capaz de passar para o código o código arbitrário do parâmetro “param” que será executado no software.

Injeção de código

O exemplo abaixo explica a chamada para o phpinfo () função. Esta vulnerabilidade pode ainda ser explorada em outra forma de executar comandos arbitrários do sistema operacional no software de destino por meio da chamada de sistema ().

chamada para a função phpinfo ()

# 19) CWE-798: Chave de acesso embutida

Isso ocorre quando a senha e a chave de acesso são codificadas no aplicativo diretamente para fins de autenticação de entrada e comunicação de saída para alguns componentes externos e para criptografia de dados internos. Detalhes de login embutidos em código geralmente causam vulnerabilidade que abre caminho para um invasor contornar a autenticação configurada pelo administrador do software.

O administrador do sistema sempre achará muito difícil detectar essa vulnerabilidade e corrigi-la.

Existem duas correntes principais para essa fraqueza:

  • De entrada : O aplicativo contém um sistema de autenticação que valida as credenciais de entrada em relação aos detalhes embutidos em código.
  • Saída : O aplicativo se conecta a outro sistema e os detalhes para se conectar a outro sistema são codificados no sistema.

No stream de entrada, há sempre uma conta de administrador padrão que é criada e as credenciais para acessá-la serão codificadas no aplicativo e associadas a essa conta de administrador padrão.

Os detalhes embutidos em código geralmente são os mesmos em todas as instalações do aplicativo e não podem ser alterados ou desabilitados por ninguém. Mesmo os administradores do sistema não têm esse direito, exceto eles podem modificar manualmente o aplicativo. Se a senha for divulgada ao público, um invasor pode ter acesso a todo o aplicativo e pode manipulá-lo para seu próprio benefício.

Como todas as instalações do aplicativo têm a mesma senha, mesmo quando instaladas em organizações separadas, isso pode causar ataques massivos em todas as fronteiras da organização, por exemplo, injetar um verme no aplicativo que se espalhará.

O fluxo de saída se aplica apenas a sistemas front-end que se autenticam com um serviço back-end. O serviço de back-end pode exigir um código fixo ou uma senha fixa que pode ser facilmente descoberta. O que o programador faz é simplesmente codificar essas credenciais de back-end no software de front-end. Qualquer usuário desse aplicativo pode conseguir extrair a senha.

Qualquer software do lado do cliente em que a senha e a chave de acesso estejam embutidas em código normalmente representa mais ameaça do que aqueles não embutidos, porque a extração de uma senha de um binário geralmente é muito fácil de realizar.

# 20) CWE-400: Consumo descontrolado de recursos

Essa vulnerabilidade ocorre quando o aplicativo não controla a alocação e manutenção de um recurso limitado de forma adequada, isso permite que um invasor seja capaz de influenciar a quantidade de recursos consumidos, o que acabará por levar ao esgotamento dos recursos disponíveis.

Parte dos recursos limitados inclui memória, armazenamento do sistema de arquivos, entradas do conjunto de conexões de banco de dados e CPU.

Vamos supor que um invasor pode acionar a alocação desses recursos limitados e o número ou tamanho dos recursos não é controlado, então o invasor pode causar o caos por meio da negação de serviço que consome todos os recursos disponíveis.

Quando isso acontece, impede que usuários válidos acessem o aplicativo, o que invariavelmente terá um impacto negativo no ambiente. Por exemplo, quando a memória do aplicativo passa por um ataque de exaustão, isso pode tornar o aplicativo inteiro mais lento, bem como o sistema operacional host.

As três diferentes instâncias que podem levar ao esgotamento de recursos são:

  • Escassez de limitação para o número de recursos alocados
  • Perder todas as referências a um recurso antes de atingir o estágio de desligamento
  • Falha ao fechar / retornar um recurso após o processamento

O problema de esgotamento de recursos é geralmente o resultado da implementação incorreta dos seguintes cenários:

  • Condições de erro e outras circunstâncias excepcionais.
  • Há uma reação mista sobre qual parte do programa libera o recurso.

O exemplo a seguir ajuda a demonstrar a natureza dessa vulnerabilidade e descreve os métodos que podem ser usados ​​para reduzir o risco.

O exemplo a seguir explica a vulnerabilidade:

Consumo descontrolado de recursos

criador de fluxograma gratuito para mac

(imagem fonte )

Este programa não rastreia quantas conexões foram feitas e não limita o número de conexões disponíveis. A bifurcação é apenas uma das maneiras usadas por um invasor para fazer com que o sistema fique sem CPU, processos ou memória fazendo um grande número de conexões.

O que um invasor faz é consumir todas as conexões disponíveis, evitando que outros acessem o sistema remotamente.

perguntas frequentes

P # 1) O que significa SANS?

Responda: SANS significa SysAdmin, Audit, Network e Security.

P # 2) Liste alguns exemplos de vulnerabilidades.

Resposta: Os exemplos são os seguintes:

  • Vulnerabilidades de software
  • Vulnerabilidades de firewall
  • Vulnerabilidades de rede
  • Vulnerabilidades do sistema operacional
  • Vulnerabilidades do servidor web
  • Vulnerabilidades de banco de dados

P # 3) Qual é a diferença entre ameaças e vulnerabilidades?

Responda: Ameaça é a possibilidade de realizar um ato malicioso ou indesejado na tentativa de danificar um sistema ou aplicativo de computador por meio de vulnerabilidades existentes no sistema. Exemplo: ransomware.

Vulnerabilidades são pontos fracos que existem em um sistema que podem ter permitido o acesso indesejado ou não autorizado de um invasor para se infiltrar em uma organização. Exemplo: Configuração incorreta do firewall.

P # 4) Quais são as vulnerabilidades mais comuns?

Resposta: São as seguintes:

  • Injeção SQL
  • Cross-Site Scripting
  • Configuração incorreta de segurança
  • Exposição de dados sensíveis
  • Autenticação Quebrada
  • Gestão de Sessão

Conclusão

Esta lista das 20 principais vulnerabilidades do SANS não é uma regra ou política, mas um guia para nos ajudar a evitar vulnerabilidades de software. Quer sejamos um desenvolvedor ou especialista em segurança, agora cabe a nós seguir este guia sobre o que pode ser feito para evitar qualquer erro que possa levar a vulnerabilidades em nosso aplicativo que podem criar um backdoor para um ator executar um ato malicioso.

Leitura recomendada

^