Информационный портал по безопасности SecurityLab опубликовал статистику по уязвимостям за ноябрь 2007 года.
Валерий Марчук
www.SecurityLab.ru
Информационный портал по безопасности SecurityLab в ноябре 2007 года опубликовал 304 уязвимости, 63 эксплоита, 1237 уведомлений безопасности от различных производителей и 32 описания различных вирусов. Также, были обновлены данные по 228 уязвимостям.
Статистика уязвимостей в Web приложениях
Уязвимости в Web приложениях составили 43,18% от всех уязвимостей, опубликованных за месяц. По данным на 1 декабря в 2007 году было опубликовано 1194 уязвимости, что составляет 40,61% от общего количества опубликованных уязвимостей.
Кол-во уязвимостей |
Опасность |
Кол-во исправленных уязвимостей |
Описание |
Системы управления содержанием |
|||
8 |
Высокая |
1 |
Выполнение произвольных команд на сервере |
14 |
Средняя |
2 |
Неавторизованный доступ к данным, неавторизованное изменение данных |
7 |
Низкая |
1 |
XSS нападение, обход ограничений безопасности |
Интернет магазины |
|||
2 |
Высокая |
0 |
Выполнение произвольных команд на сервере |
5 |
Средняя |
1 |
Неавторизованное изменение данных |
1 |
Низкая |
1 |
Неавторизованный доступ к данным |
Форумы, чаты, гостевые книги и т.д. |
|||
4 |
Высокая |
0 |
Выполнение произвольных команд на сервере |
7 |
Средняя |
0 |
Неавторизованный доступ к данным, неавторизованное изменение данных |
4 |
Низкая |
2 |
XSS нападение |
Другие Web приложения |
|||
11 |
Высокая |
0 |
Выполнение произвольных команд на сервере |
35 |
Средняя |
4 |
Неавторизованный доступ к данным, неавторизованное изменение данных |
32 |
Низкая |
15 |
XSS нападение, неавторизованный доступ к данным, неавторизованное изменение данных |
Всего в ноябре 2007 года SecurityLab опубликовал данные о 130 уязвимостях в Web приложениях. На 01.12.2007 только 27 уязвимостей были устранены производителями программного обеспечения.
Уязвимости в серверном программном обеспечении
Уязвимости в серверном ПО составили 25,98% от общего числа уязвимостей.
Кол-во уязвимостей |
Мин/Макс. опасность |
Кол-во исправлений |
Тип приложения |
Описание |
2 |
Средняя/Средняя |
2 |
DNS сервера |
Отравление DNS кеша |
2 |
Низкая/Низкая |
2 |
Web сервера |
Раскрытие данных, XSS нападение |
2 |
Низкая/Высокая |
2 |
Почтовые сервера |
Отказ в обслуживании, выполнение произвольного кода |
4 |
Низкая/Средняя |
3 |
Базы данных |
Отказ в обслуживании, повышение привилегий, неавторизованное изменение данных |
2 |
Средняя |
2 |
FTP сервера |
Отказ в обслуживании, неавторизованный доступ к данным |
1 |
Низкая |
1 |
IDS/IPS |
Обход ограничений безопасности |
9 |
Низкая/Средняя |
5 |
Аппаратные устройства |
XSS атака, отказ в обслуживании |
1 |
Средняя |
1 |
Игровые сервера |
Отказ в обслуживании |
1 |
Средняя |
1 |
Межсетевые экраны |
Выполнение произвольно кода, отказ в обслуживании, раскрытие данных |
4 |
Низкая/Высокая |
4 |
Системы контроля и мониторинга |
Выполнение произвольного кода, отказ в обслуживании, неавторизованное изменение данных |
2 |
Низкая/Низкая |
2 |
Системы удаленного управления |
Выполнение произвольного кода, отказ в обслуживании |
1 |
Критическая |
0 |
Антивирусы |
Выполнение произвольного кода. Подробности уязвимости отсутствуют |
50 |
Низкая/Высокая |
38 |
Другие серверные приложения |
Выполнение произвольного кода, отказ в обслуживании, неавторизованное изменение данных, XSS нападение |
Всего опубликовано 81 уязвимость в серверных приложениях. Исправления отсутствуют для 18 уязвимостей (16 уязвимостей – низкий уровень опасности, 1 уязвимость (СУБД Oracle) – средний и 1 уязвимость (ClamAV) - критический).
Уязвимости в клиентском ПО
Уязвимости в данной категории ПО составляют 22,73% от общего количества уязвимостей.
Кол-во уязвимостей |
Мин/Макс. опасность |
Кол-во исправлений |
Тип приложения |
Описание |
4 |
Низкая/Высокая |
3 |
Браузеры |
XSS атака, отказ в обслуживании, выполнение произвольного кода |
3 |
Низкая/Низкая |
1 |
Приложения мгновенной отправки сообщений |
Отказ в обслуживании, повышений привилегий |
2 |
Средняя/Средняя |
2 |
Игры |
Отказ в обслуживании |
18 |
Низкая/Критическая |
5 |
ActiveX компоненты |
Отказ в обслуживании, выполнение произвольного кода |
5 |
Средняя/Высокая |
5 |
Мультимедийные приложения |
Отказ в обслуживании, выполнение произвольного кода |
1 |
Высокая |
1 |
Персональные межсетвые экраны |
Выполнение произвольного кода |
1 |
Критическая |
1 |
Почтовые клиенты |
Выполнение произвольного кода |
6 |
Средняя/Критическая |
3 |
Офисные приложения |
Отказ в обслуживании, выполнение произвольного кода |
25 |
Низкая/Высокая |
12 |
Другие приложения |
Повышение привилегий, отказ в обслуживании, выполнение произвольного кода |
Всего в ноябре было опубликовано 65 уязвимостей в клиентском программном обеспечении. 32 уязвимости не были устранены производителями программного обеспечения.
Особое внимание следует уделить уязвимостям в ActiveX компонентах. ActiveX компоненты слишком заинтересовали хакеров в 2007 году. В первом полугодии 2006 года был замечен рост интереса к подобным уязвимостям (было опубликовано 12 уязвимостей), во втором полугодии уже более 40. В 2007 году было обнаружено больше 250 уязвимостей в ActiveX компонентах, что в более чем в 5 раз превышает показатели за 2006 год.
Уязвимости в компонентах ОС
ОС |
Кол-во уязвимостей |
Кол-во исправлений |
Макс. опасность |
Linux (ядро) |
4 |
4 |
Средняя |
Linux Red Hat |
4 |
4 |
Низкая |
Linux Fedora |
1 |
0 |
Низкая |
FreeBSD |
1 |
1 |
Низкая |
IBM AIX |
2 |
2 |
Средняя |
HP-UX |
1 |
1 |
Низкая |
Mac OS X |
3 |
3 |
Критическая |
Cisco IOS |
1 |
0 |
Низкая |
Sun Solaris |
3 |
3 |
Низкая |
Microsoft Windows 2003 |
1 |
1 |
Средняя |
Microsoft Windows XP/2000 |
3 |
1 |
Средняя |
В ноябре было опубликовано 24 уязвимости, из которых 4 уязвимости не устранены. Максимальный рейтинг опасности не устраненных уязвимостей – низкий.
Степень опасности уязвимостей
Опасность |
Кол-во уязвимостей |
Кол-во исправленных уязвимостей |
Критическая |
8 |
3 |
Высокая |
57 |
20 |
Средняя |
100 |
43 |
Низкая |
140 |
79 |
В ноябре было опубликовано 304 уязвимости, из которых 159 не устранены в настоящее время, что составляет 52,3%.
Типы приложений |
Исправление отсутствует |
Web приложения |
79,23% |
Серверное ПО |
22,22% |
Клиентское ПО |
49,23% |
Компоненты ОС |
16,66% |
Уведомления безопасности от производителей
Всего было опубликовано 1237 уведомления безопасности. Хотелось бы отметить следующих производителей:
Производитель |
Кол-во уведомлений |
1019 |
|
61 |
|
57 |
|
32 |
|
23 |
|
11 |
|
10 |
|
7 |
|
6 |
|
3 |
|
2 |
|
2 |
|
|
|
Заключение
Самыми опасными приложениями в ноябре 2007 года являются Web приложения. Среди клиентских приложений, самыми опасными являются ActiveX компоненты.
SecurityLab рекомендует администраторам уделить большее внимание обеспечению безопасности Web серверов и клиентских рабочих станций.