03.12.2007

Отчет по уязвимостям за ноябрь 2007

Информационный портал по безопасности SecurityLab опубликовал статистику по уязвимостям за ноябрь 2007 года.

Отчет по уязвимостям за ноябрь 2007

Валерий Марчук
www.SecurityLab.ru

Информационный портал по безопасности SecurityLab в ноябре 2007 года опубликовал 304 уязвимости, 63 эксплоита, 1237 уведомлений безопасности от различных производителей и 32 описания различных вирусов. Также, были обновлены данные по 228 уязвимостям.
Общая статистика по уязвимостям

Статистика уязвимостей в Web приложениях

Уязвимости в Web приложениях составили 43,18% от всех уязвимостей, опубликованных за месяц. По данным на 1 декабря в 2007 году было опубликовано 1194 уязвимости, что составляет 40,61% от общего количества опубликованных уязвимостей.
Статистика по Web приложениям

Кол-во уязвимостей

Опасность

Кол-во исправленных уязвимостей

Описание

Системы управления содержанием

8

Высокая

1

Выполнение произвольных команд на сервере

14

Средняя

2

Неавторизованный доступ к данным, неавторизованное изменение данных

7

Низкая

1

XSS нападение, обход ограничений безопасности

Интернет магазины

2

Высокая

0

Выполнение произвольных команд на сервере

5

Средняя

1

Неавторизованное изменение данных

1

Низкая

1

Неавторизованный доступ к данным

Форумы, чаты, гостевые книги и т.д.

4

Высокая

0

Выполнение произвольных команд на сервере

7

Средняя

0

Неавторизованный доступ к данным, неавторизованное изменение данных

4

Низкая

2

XSS нападение

Другие Web приложения

11

Высокая

0

Выполнение произвольных команд на сервере

35

Средняя

4

Неавторизованный доступ к данным, неавторизованное изменение данных

32

Низкая

15

XSS нападение, неавторизованный доступ к данным, неавторизованное изменение данных

Всего в ноябре 2007 года SecurityLab опубликовал данные о 130 уязвимостях в Web приложениях. На 01.12.2007 только 27 уязвимостей были устранены производителями программного обеспечения.

 

Уязвимости в серверном программном обеспечении
Уязвимости в серверном ПО составили 25,98% от общего числа уязвимостей.


Кол-во уязвимостей

Мин/Макс. опасность

Кол-во исправлений

Тип приложения

Описание

2

Средняя/Средняя

2

DNS сервера

Отравление DNS кеша

2

Низкая/Низкая

2

Web сервера

Раскрытие данных, XSS нападение

2

Низкая/Высокая

2

Почтовые сервера

Отказ в обслуживании, выполнение произвольного кода

4

Низкая/Средняя

3

Базы данных

Отказ в обслуживании, повышение привилегий, неавторизованное изменение данных

2

Средняя

2

FTP сервера

Отказ в обслуживании, неавторизованный доступ к данным

1

Низкая

1

IDS/IPS

Обход ограничений безопасности

9

Низкая/Средняя

5

Аппаратные устройства

XSS атака, отказ в обслуживании

1

Средняя

1

Игровые сервера

Отказ в обслуживании

1

Средняя

1

Межсетевые экраны

Выполнение произвольно кода, отказ в обслуживании, раскрытие данных

4

Низкая/Высокая

4

Системы контроля и мониторинга

Выполнение произвольного кода, отказ в обслуживании, неавторизованное изменение данных

2

Низкая/Низкая

2

Системы удаленного управления

Выполнение произвольного кода, отказ в обслуживании

1

Критическая

0

Антивирусы

Выполнение произвольного кода. Подробности уязвимости отсутствуют

50

Низкая/Высокая

38

Другие серверные приложения

Выполнение произвольного кода, отказ в обслуживании, неавторизованное изменение данных, XSS нападение

Всего опубликовано 81 уязвимость в серверных приложениях. Исправления отсутствуют для 18 уязвимостей (16 уязвимостей – низкий уровень опасности, 1 уязвимость (СУБД Oracle) – средний и 1 уязвимость (ClamAV) - критический).

Уязвимости в клиентском ПО

Уязвимости в данной категории ПО составляют 22,73% от общего количества уязвимостей.


Кол-во уязвимостей

Мин/Макс. опасность

Кол-во исправлений

Тип приложения

Описание

4

Низкая/Высокая

3

Браузеры

XSS атака, отказ в обслуживании, выполнение произвольного кода

3

Низкая/Низкая

1

Приложения мгновенной отправки сообщений

Отказ в обслуживании, повышений привилегий

2

Средняя/Средняя

2

Игры

Отказ в обслуживании

18

Низкая/Критическая

5

ActiveX компоненты

Отказ в обслуживании, выполнение произвольного кода

5

Средняя/Высокая

5

Мультимедийные приложения

Отказ в обслуживании, выполнение произвольного кода

1

Высокая

1

Персональные межсетвые экраны

Выполнение произвольного кода

1

Критическая

1

Почтовые клиенты

Выполнение произвольного кода

6

Средняя/Критическая

3

Офисные приложения

Отказ в обслуживании, выполнение произвольного кода

25

Низкая/Высокая

12

Другие приложения

Повышение привилегий, отказ в обслуживании, выполнение произвольного кода

Всего в ноябре было опубликовано 65 уязвимостей в клиентском программном обеспечении. 32 уязвимости не были устранены производителями программного обеспечения.
Особое внимание следует уделить уязвимостям в ActiveX компонентах. ActiveX компоненты слишком заинтересовали хакеров в 2007 году. В первом полугодии 2006 года был замечен рост интереса к подобным уязвимостям (было опубликовано 12 уязвимостей), во втором полугодии уже более 40. В 2007 году было обнаружено больше 250 уязвимостей в ActiveX компонентах, что в более чем в 5 раз превышает показатели за 2006 год.

 

Уязвимости в компонентах ОС


Уязвимости в компонентах ОС


ОС

Кол-во уязвимостей

Кол-во исправлений

Макс. опасность

Linux (ядро)

4

4

Средняя

Linux Red Hat

4

4

Низкая

Linux Fedora

1

0

Низкая

FreeBSD

1

1

Низкая

IBM AIX

2

2

Средняя

HP-UX

1

1

Низкая

Mac OS X

3

3

Критическая

Cisco IOS

1

0

Низкая

Sun Solaris

3

3

Низкая

Microsoft Windows 2003

1

1

Средняя

Microsoft Windows XP/2000

3

1

Средняя

В ноябре было опубликовано 24 уязвимости, из которых 4 уязвимости не устранены. Максимальный рейтинг опасности не устраненных уязвимостей – низкий.

 

Степень опасности уязвимостей


Степень опасности уязвимостей


Опасность

Кол-во уязвимостей

Кол-во исправленных уязвимостей

Критическая

8

3

Высокая

57

20

Средняя

100

43

Низкая

140

79

В ноябре было опубликовано 304 уязвимости, из которых 159 не устранены в настоящее время, что составляет 52,3%.


Типы приложений

Исправление отсутствует

Web приложения

79,23%

Серверное ПО

22,22%

Клиентское ПО

49,23%

Компоненты ОС

16,66%

 

Уведомления безопасности от производителей


Всего было опубликовано 1237 уведомления безопасности. Хотелось бы отметить следующих производителей:


Производитель

Кол-во уведомлений

Fedora

1019

Red Hat

61

Mandriva

57

Gentoo Linux

32

Debian

23

Hewlett Packard

11

Slackware

10

Sun Microsystems

7

IBM

6

Symantec

3

Microsoft

2

FreeBSD

2

 

 

 

Заключение

Самыми опасными приложениями в ноябре 2007 года являются Web приложения. Среди клиентских приложений, самыми опасными являются ActiveX компоненты.

SecurityLab рекомендует администраторам уделить большее внимание обеспечению безопасности Web серверов и клиентских рабочих станций.

 

или введите имя

CAPTCHA
Страницы: 1  2  
1
03-12-2007 14:25:46
Вы о чём? - Linux (ядро) - найдено 4 и исправлено 4 - Microsoft Windows XP/2000 - найдено 3 и исправлено 1 Счёт вроде не в пользу винды... Или я считаю не правильно?
0 |
1
04-12-2007 16:43:47
Не в пользу винды, но это не повод ее сносить
0 |
06-01-2008 22:21:32
почему не повод? Как это так, дают гарантии за деньги, а дырки не латают? Не умеют чтоли? Кто там говорил про "лучьшие умы мира" работающие в М$,или всетаки "быдлокодеры"?.[B]
0 |
1
04-12-2007 19:21:46
> - Linux (ядро) - найдено 4 и исправлено 4 - Microsoft Windows XP/2000 - найдено 3 и исправлено 1 Счёт вроде не в пользу винды... Или я считаю не правильно? Очевидно, не в пользу. У Windows еще и большая фора: ядро Linux включает в себя тысячи драйверов по которым считаются уязвимости начиная от драйверов индикаторов, сенсоров HW-мониторинга, переходников USB-RS485 и USB-RS232 и заканчивая драйверами TV-тюнеров, RAID-контроллеров и криптоускорителей, в Windows данный функционал представлен сторонними драйверами и уязвимости в них не считаются уязвимостями Windows.
0 |
1
03-12-2007 16:43:55
Ну хоть один боле или менее нормальный отчетец увидел. P.S. javascript на сайте работает отстойно, голосование в том числе
0 |
1
03-12-2007 20:42:04
Я так рад, что сделали отчет по уязвимостям!
0 |
1
04-12-2007 19:10:47
Хороший беспристрастный отчёт, а не банальное сваливание всех дырок в одну кучу. зы капча 76888
0 |
06-12-2007 09:52:03
Особенно порадовала новость (не с SC) что M$ не могут залать дыру с 135 портом (RPC). А вот интересно чего за вторая неисправленная уязвимость в w2k?
0 |
Страницы: 1  2