|
As 10 maiores falhas de
aplicativos de Internet
O Open Web Application Security Project (OWASP), um
grupo especializado em aplicativos de código aberto, elaborou uma lista
dos 10 principais problemas de risco em segurança de redes e
aplicativos de Internet.
O grupo ressalta que as vulnerabilidades citadas não são novidades.
"Na verdade, algumas já existem há décadas". No entanto,
alerta o OWASP em seu comunicado, muitos erros ainda são cometidos.
Veja as 10 falhas apresentadas pelo grupo:
1. Parâmetros inválidos Informações de solicitações da Web não são
validadas antes de serem utilizadas por um aplicativo de Internet.
Ataques podem ser feitos utilizando essas falhas para atacar componentes
do aplicativo.
2. Quebra de controle de acesso Restrições sobre o que usuários
autenticados têm permissão de fazer não são reforçadas de forma
apropriada. Invasores podem explorar essas brechas para acessar outras
contas de usuários.
3. Quebra de gerenciamento de conta e seção Credenciais de contas e
tokens (componentes) de seção não são devidamente protegidos.
Ataques podem comprometer senhas, chaves, cookies de seção, ou ainda
outros tokens podem destruir restrições de autenticação e assmunir
indentidades de outros usuários.
4. Falhas de Cross-Site Scripting A aplicação de Internet pode ser
usada como um mecanismo de transporte para chegar ao browser do usuário.
Um ataque que tenha sucesso pode abrir o token da seção do usuário e
fazer uma invasão local.
5. Buffer Overflow Componentes de aplicativos Web, em algumas linguagens
que não possam ser devidamente validadas, podem interromper a navegação
e, em alguns casos, permitir que se tenha controle do processo. Estes
componentes incluem CGI e drivers.
6. Falhas de injeção de comando Aplicativos Web transmitem parâmetros
quando eles acessam sistemas externos ou o sistema operacional local. Um
ataque pode inserir comandos maliciosos nestes parâmetros e o sistema
externo pode executá-los.
7. Falha no tratamento manual Condições de erro que ocorrem durante
uma operação normal não são manuais, propriamente. Se um invasor
pode provocar erros que prejudiquem um aplicativo de Internet, ele pode
obter informações detalhadas do sistema, prejudicar serviços ou até
mesmo travar o servidor.
8. Uso indevido de criptografia Frequentemente, aplicativos de Internet
utilizam funções de criptografia para proteger informações e
credenciais. Essas funções e o código para integrá-las têm
apresentado dificuldades, resultando numa proteção enfraquecida.
9. Falhas em administração remota Muitas aplicações Web permitem que
o administrador acesse o site utilizando a interface Web. Se estas funções
administrativas não estiverem devidamente protegidas, um invasor é
capaz de ter acesso total ao comando do site.
10. Falta de configuração no servidor de aplicações e Web Ter um
forte padrão de configuração do servidor é uma questão crítica
para aplicativos de Web. Esses servidores têm muitas opções de
configuração que afetam a segurança e não garantem total
estabilidade.
IDG Now!
|
