7 visų laikų blogiausios programinės įrangos spragos

Visų kompiuterių programų veikimas priklauso nuo kodo, tačiau kodavimo trūkumai gali užleisti vietą programinės įrangos pažeidžiamumui. Kai kurie iš jų sukėlė plačiai paplitusią paniką ir siaubingas pasekmes, sukrėtusias kibernetinio saugumo pasaulį.

Taigi, kurios programinės įrangos spragos yra didžiausios ir pavojingiausios?

1. Log4Shell

„Log4Shell“ programinės įrangos pažeidžiamumas buvo „Apache Log4j“, populiarioje „Java“ registravimo sistemoje, kurią naudoja dešimtys milijonų žmonių visame pasaulyje.

2021 m. lapkritį Chen Zhaojun, „Alibaba Cloud Security Team“ narys, aptiko kritinį kodavimo trūkumą. Zhaojun pirmą kartą pastebėjo „Minecraft“ serverių trūkumą.

Defektas, oficialiai pavadintas CVE-2021-44228, tapo žinomas kaip Log4Shell.

„Log4Shell“ saugos trūkumas yra a nulinės dienos pažeidžiamumas, todėl piktybiniai veikėjai jį išnaudojo anksčiau, nei jį pastebėjo kibernetinio saugumo ekspertai, o tai reiškia, kad jie galėjo vykdyti nuotolinį kodo vykdymą. Taip įsilaužėliai gali įdiegti kenkėjišką kodą į „Log4j“, todėl gali būti pavogti duomenys, šnipinėti ir plisti kenkėjiškos programos.

Nors „Log4Shell“ pažeidžiamumo pataisa buvo išleista netrukus po to, kai ji buvo aptikta, ši saugumo klaida jokiu būdu nėra praeitis.

Kibernetiniai nusikaltėliai vis dar naudoja „Log4Shell“ savo išnaudojimams iki šiol, nors pataisa gerokai sumažino grėsmės lygį. Pagal Rezilion26 procentai viešųjų Minecraft serverių vis dar yra pažeidžiami Log4Shell.

Jei įmonė ar asmuo neatnaujino savo programinės įrangos, „Log4Shell“ pažeidžiamumas greičiausiai vis dar išliks, o tai atvers duris užpuolikams.

2. EternalBlue

EternalBlue (oficialiai žinomas kaip MS17-010) yra programinės įrangos pažeidžiamumas, kuris pradėjo kelti ažiotažą 2017 m. balandžio mėn. Stebina tai, kad šį pažeidžiamumą iš dalies sukūrė NSA – didžiulė Amerikos žvalgybos agentūra, žinoma kaip padedanti JAV gynybos departamentui tvarkyti karinius reikalus.

NSA atrado „EternalBlue“ pažeidžiamumą „Microsoft“, tačiau tik po penkerių metų „Microsoft“ sužinojo apie trūkumą. NSA sukūrė „EternalBlue“ kaip galimą kibernetinį ginklą, ir prireikė įsilaužimo, kad pasaulis būtų apie tai informuotas.

2017 m. įsilaužimo grupė, žinoma kaip „Shadow Brokers“, nutekino „EternalBlue“ egzistavimą po to, kai skaitmeniniu būdu įsiskverbė į NSA. Paaiškėjo, kad dėl trūkumo NSA suteikė slaptą galinių durų prieigą prie daugelio „Windows“ įrenginių, įskaitant tuos, kuriuose veikia „Windows 7“, „Windows 8“, ir dažnai piktinamasi Windows Vista. Kitaip tariant, NSA gali pasiekti milijonus įrenginių be vartotojų žinios.

Nors yra „EternalBlue“ pataisa, „Microsoft“ ir visuomenės nesuvokimas apie trūkumą daugelį metų paliko įrenginius pažeidžiamus.

3. Kraujavimas iš širdies

„Heartbleed“ saugos trūkumas buvo oficialiai aptiktas 2014 m., nors prieš dvejus metus jis buvo „OpenSSL“ kodų bibliotekoje. Tam tikrose pasenusiose „OpenSSL“ bibliotekos versijose buvo „Heartbleed“, kuri buvo laikoma rimta, kai buvo aptikta.

Oficialiai žinomas kaip CVE-2014-0160, „Heartbleed“ buvo gana svarbus susirūpinimas dėl savo vietos „OpenSSL“. Kadangi OpenSSL buvo naudojamas kaip SSL šifravimo sluoksnis tarp svetainių duomenų bazių ir galutinių vartotojų, per „Heartbleed“ trūkumą galima pasiekti daug neskelbtinų duomenų.

Tačiau šio bendravimo proceso metu buvo kitas ryšys, kuris nebuvo užšifruotas, tam tikras pamatinis sluoksnis, užtikrinantis, kad abu pokalbio kompiuteriai būtų aktyvūs.

Įsilaužėliai rado būdą, kaip išnaudoti šią nešifruotą ryšio liniją, kad iš anksčiau apsaugoto kompiuterio išspaustų neskelbtinus duomenis. Iš esmės užpuolikas užtvindytų sistemą užklausomis, tikėdamasis atgauti šiek tiek sultingos informacijos.

„Heartbleed“ buvo pataisyta tą patį mėnesį kaip ir oficialus atradimas, tačiau senesnės „OpenSSL“ versijos vis tiek gali būti pažeidžiamos dėl trūkumo.

4. Dvigubas nužudymas

Double Kill (arba CVE-2018-8174) buvo kritinis nulinės dienos pažeidžiamumas, dėl kurio Windows sistemoms kilo pavojus. Šis 2018 m. aptiktas trūkumas pateko į kibernetinio saugumo naujienų antraštes, nes jis yra visose „Windows“ operacinėse sistemose nuo 7 versijos.

„Double Kill“ rasta „Windows Internet Explorer“ naršyklėje ir išnaudoja VB scenarijaus trūkumą. Atakos metodas apima kenkėjiško Internet Explorer tinklalapio naudojimą, kuriame yra kodas, reikalingas piktnaudžiavimui pažeidžiamumu.

„Double Kill“ gali suteikti užpuolikams tokius pat sistemos leidimus kaip ir originalus įgaliotas vartotojas, jei jis naudojamas teisingai. Tokiais atvejais užpuolikai netgi gali visiškai valdyti savo „Windows“ įrenginį.

2018 m. gegužės mėn. „Windows“ išleido „Double Kill“ pataisą.

5. CVE-2022-0609

CVE-2022-0609 yra dar vienas rimtas programinės įrangos pažeidžiamumas, nustatytas 2022 m. Paaiškėjo, kad „Chrome“ pagrįsta klaida yra nulinės dienos pažeidžiamumas, kurį užpuolikai išnaudojo gamtoje.

Šis pažeidžiamumas gali paveikti visus „Chrome“ naudotojus, todėl jo sunkumas yra toks aukštas. CVE-2022-0609 yra žinomas kaip a „use-af-free“ klaida, tai reiškia, kad ji turi galimybę keisti duomenis ir vykdyti kodą nuotoliniu būdu.

Netrukus „Google“ išleido pataisą CVE-2022-0609 „Chrome“ naršyklės naujinime.

6. BlueKeep

2019 m. gegužę kibernetinio saugumo ekspertas Kevinas Beaumontas aptiko kritinį programinės įrangos trūkumą, žinomą kaip „BlueKeep“. Trūką galima rasti „Microsoft“ nuotolinio darbalaukio protokole, kuris naudojamas nuotoliniu būdu diagnozuoti sistemos problemas, taip pat suteikti vartotojams nuotolinę prieigą prie savo darbalaukio iš kito įrenginio.

Oficialiai žinomas kaip CVE-2019-0708, „BlueKeep“ yra nuotolinio vykdymo pažeidžiamumas, reiškiantis, kad jis gali būti naudojamas nuotoliniu būdu vykdyti kodą tiksliniame įrenginyje. „Microsoft“ sukurtų koncepcijų įrodymas parodė, kad užpuolikai gali pažeisti tikslinius kompiuterius ir juos perimti per mažiau nei minutę, o tai pabrėžia trūkumo rimtumą.

Kai įrenginys pasiekiamas, užpuolikas gali nuotoliniu būdu vykdyti kodą vartotojo darbalaukyje.

„BlueKeep“ pranašumas yra tas, kad jis veikia tik senesnes „Windows“ versijas, įskaitant:

• Windows Vista.
• Windows XP.
• Windows Server 2003.
• Windows Server 2008.
• Windows Server 2008 R2.
• Windows 7.

Jei jūsų įrenginyje veikia bet kuri naujesnė nei aukščiau išvardyta „Windows“ OS, tikriausiai nereikės jaudintis dėl „BlueKeep“.

7. ZeroLogon

ZeroLogon arba CVE-2020-1472, kaip jis žinomas oficialiai, yra Microsoft programinės įrangos saugos trūkumas, aptiktas 2020 m. rugpjūčio mėn. Bendroji pažeidžiamumo vertinimo sistema (CVSS) įvertino šį trūkumą 10 balų iš 10 pagal sunkumo skalę, todėl jis yra labai pavojingas.

Tai gali išnaudoti Active Directory išteklius, kurie paprastai yra Windows įmonės serveriuose. Oficialiai tai žinoma kaip Active Directory Netlogon Remote Protocol.

„ZeroLogon“ kelia pavojų vartotojams, nes gali pakeisti slaptą paskyros informaciją, įskaitant slaptažodžius. Trūkumas naudoja autentifikavimo metodą, kad paskyras būtų galima pasiekti nepatvirtinus tapatybės.

Tą patį mėnesį, kai buvo atrasta, „Microsoft“ išleido du „ZeroLogon“ pataisymus.

Programinės įrangos pažeidžiamumas yra nerimą keliantis dažnas

Mes taip stipriai pasitikime programine įranga, kad natūralu, kad atsiranda klaidų ir trūkumų. Tačiau kai kurios iš šių kodavimo klaidų gali užleisti vietą labai išnaudojamiems saugos pažeidžiamumams, dėl kurių kyla pavojus tiek teikėjams, tiek vartotojams.