0 
0 Quase todos os aplicativos têm pelo menos uma vulnerabilidade ou configuração incorreta que afeta a segurança e um quarto dos testes de aplicativos encontrou uma vulnerabilidade altamente ou criticamente grave, mostra um novo estudo.
A configuração SSL e TLS fraca, o cabeçalho Content Security Policy (CSP) ausente e o vazamento de informações por meio de banners do servidor encabeçaram a lista de problemas de software com implicações de segurança, de acordo com as descobertas do novo relatório Snapshot 2022 de vulnerabilidades de software do conglomerado de ferramentas de software e hardware Synopsys publicado hoje . Embora muitas das configurações incorretas e vulnerabilidades sejam consideradas de gravidade média ou inferior, pelo menos 25% são classificadas como altamente ou criticamente graves.
Os problemas de configuração geralmente são colocados em um balde menos grave, mas os problemas de configuração e codificação são igualmente arriscados, diz Ray Kelly, membro do Software Integrity Group da Synopsys.
“Isso apenas indica que, [embora] as organizações possam estar fazendo um bom trabalho realizando verificações estáticas para reduzir o número de vulnerabilidades de codificação, elas não estão levando em consideração a configuração, pois pode ser mais difícil”, diz ele. “Infelizmente, as varreduras de teste de segurança de aplicativos estáticos (SAST) não podem realizar verificações de configuração porque [eles não têm] conhecimento do ambiente de produção onde o código será implantado”.
Os dados defendem os benefícios do uso de várias ferramentas para analisar o software em busca de vulnerabilidades e configurações incorretas.
Os testes de penetração, por exemplo, detectaram 77% dos problemas fracos de configuração SSL/TLS, enquanto o teste dinâmico de segurança de aplicativos (DAST) detectou o problema em 81% dos testes. Ambas as tecnologias, mais o teste de segurança de aplicativos móveis (MAST), levaram à descoberta do problema em 82% dos testes, de acordo com o relatório da Synopsys .
Outras empresas de segurança de aplicativos documentaram resultados semelhantes. Na última década, por exemplo, três vezes mais aplicativos são verificados, e cada um é verificado 20 vezes mais frequentemente, afirmou a Veracode em seu relatório “State of Software Security” em fevereiro . Embora esse relatório tenha descoberto que 77% das bibliotecas de terceiros ainda não haviam eliminado uma vulnerabilidade divulgada três meses após o relatório do problema, o código corrigido foi aplicado três vezes mais rápido.
As empresas de software que usam varredura dinâmica e estática em conjunto corrigiram metade das falhas 24 dias mais rápido, afirmou a Veracode.
“Testes e integração contínuos, que incluem verificação de segurança em pipelines, estão se tornando a norma”, afirmou a empresa em um post de blog na época .
Não apenas SAST, não apenas DAST
A Synopsys divulgou dados de uma variedade de testes diferentes, cada um com os principais infratores semelhantes. Configurações fracas de tecnologia de criptografia – ou seja, Secure Sockets Layer (SSL) e Transport Layer Security (TLS) – lideraram as paradas para testes de segurança de aplicativos estáticos, dinâmicos e móveis, por exemplo.
No entanto, as questões começam a divergir mais abaixo nas listas. Os testes de penetração identificaram políticas de senha fraca em um quarto dos aplicativos e cross-site scripting em 22%, enquanto o DAST identificou aplicativos sem tempo limite de sessão adequado em 38% dos testes e vulneráveis a clickjacking em 30% dos testes.
Testes estáticos e dinâmicos, bem como análise de composição de software (SCA), todos têm vantagens e devem ser usados juntos para ter a maior chance de detectar possíveis erros de configuração e vulnerabilidades, diz Kelly da Synopsys.
“Dito isso, uma abordagem holística leva tempo, recursos e dinheiro, então isso pode não ser viável para muitas organizações”, diz ele. “Dedicar um tempo para projetar a segurança no processo também pode ajudar a encontrar e eliminar o maior número possível de vulnerabilidades – seja qual for o tipo – ao longo do caminho, para que a segurança seja proativa e o risco seja reduzido.”
No geral, a empresa coletou dados de quase 4.400 testes em mais de 2.700 programas. Cross-site scripting foi a vulnerabilidade de alto risco, respondendo por 22% das vulnerabilidades descobertas, enquanto a injeção de SQL foi a categoria de vulnerabilidade mais crítica, respondendo por 4%.
Perigos da cadeia de suprimentos de software
Com o software de código aberto compreendendo quase 80% das bases de código , não é surpresa que 81% das bases de código tenham pelo menos uma vulnerabilidade e outros 85% tenham um componente de código aberto que está quatro anos desatualizado.
No entanto, a Synopsys descobriu que, apesar dessas preocupações, as vulnerabilidades na segurança da cadeia de suprimentos e nos componentes de software de código aberto representavam apenas cerca de um quarto dos problemas. A categoria Vulnerable Third-Party Libraries in Use de vulnerabilidades de segurança foi descoberta em 21% dos testes de penetração e 27% dos testes de análise estática, disse o relatório.
Parte da razão para as vulnerabilidades menores do que o esperado em componentes de software pode ser porque a análise de composição de software (SCA) tornou-se mais amplamente utilizada, diz Kelly.
“Esses tipos de problemas podem ser encontrados nos estágios iniciais do ciclo de vida de desenvolvimento de software (SDLC), como as fases de desenvolvimento e DevOps, o que reduz o número que chega à produção”, diz ele.
FONTE: DARK READING