威脅清單 | 全球500強企業棄用的Web應用存在安全隱患
前言
近日，一項針對全球領先企業所擁有的廢棄網站進行的研究表明，老舊的Web應用程式需要進行正確地“退役”處理。否則，這些已被棄用很久的資源仍然會經常影響著企業安全，因為這些Web應用程式中具有可利用的漏洞和缺陷。
世界五百強企業的 web應用
舊金山安全公司High-Tech Bridge的研究人員針對英國《金融時報》所列出的世界五百強企業名單進行了調查，並在他們棄用的web應用程式中發現了諸多安全問題。
根據這份名為《廢棄的Web應用：世界五百強企業的“阿喀琉斯之踵”》的報告指出：
“儘管這些企業每年的安全支出都在不斷增加，但被遺棄的、影子或遺留應用程式卻可能成為破壞這些企業網路安全和合規性的最大根源。”
根據該報告顯示，70%的全球500強企業的部分網站訪問許可權都有在網際網路黑市上銷售；另外92%的外部Web應用程式具有可利用的安全漏洞或缺陷。
該報告介紹稱：
“一家美國公司平均擁有85.1個應用程式，可以很輕鬆地從外部檢測到，並且這些應用通常不受雙因素身份驗證（2FA）、強身份驗證或其他旨在降低不受信任方應用程式可訪問性的安全控制措施的保護。”
在其研究中，High-Tech Bridge表示，它建立了一份由美國500強企業和歐洲500強企業組成的1000家頂尖公司名單。接下來，它針對這些企業的外部網路、移動應用程式、SSL證書、網路軟體和雲端儲存的漏洞情況進行了評估。
結果發現，在全球範圍內，19%的受檢企業擁有無保護的外部雲端儲存，且只有2%的外部Web應用程式通過web應用程式防火牆得到了適當保護。
而在美國，這種情況甚至還要糟糕得多。研究發現，27％的美國公司最少有一個外部雲端儲存（例如AWS S3 bucket）可以在無需任何來自網際網路的身份驗證即可成功訪問。在歐洲，只有12％的受檢企業存在同樣的問題。
最近，錯誤配置的儲存伺服器頻繁洩露資料的問題一直困擾著全球企業。在美國軍事承包商、Verizon合作伙伴、沃爾瑪商戶以及市場營銷公司資料洩露新聞的影響下，不安全的雲端儲存問題不斷成為民眾和媒體關注的重點，引發了人們對於個人和敏感資料的擔憂情緒。
研究人員還發現，在接受調查的美國和歐盟web伺服器中，只有不到20%具有符合最新版本支付卡安全標準PCI DSS 3.2.1的SSL/TLS配置。
該報告指出：
“在接受檢查的美國公司web伺服器中，48.81%的SSL/TLS加密等級為‘A’，32.21%的等級為‘F’。7.82%的web伺服器仍在使用易受攻擊且已被棄用的SSLv3協議。”
至於WordPress，它現在仍是32%的網站的後端平臺，其安全狀況同樣不容樂觀。該報告指出，“在執行WordPress的美國公司中，有94%的公司在其web應用中擁有一個預設的管理位置(在/wp-admin URL上)，且不受任何額外保護（例如htaccess認證或IP白名單等）。”
而在歐洲，這種情況要糟糕得多，99.5%的WordPress網站存在同樣的管理位置薄弱的問題。預設的WordPress管理區域位置簡化了強制執行和其他與身份驗證相關的攻擊，包括密碼重用，以防管理員帳戶在第三方資源上洩露，以及在WP外掛和主題中利用XSS漏洞等。
*參考來源： ofollow,noindex" target="_blank">threatpost ，米雪兒編譯整理，轉載請註明來自 FreeBuf.COM。