Avec autant de bugs plus anciens, pourquoi s'embêter avec zéro jour?

Ne soyez pas obsédé par les vulnérabilités «jour zéro» et les attaques hautement sophistiquées et ciblées. Les attaquants sont plus susceptibles d'exploiter les failles plus anciennes et connues des applications Web. Par conséquent, concentrez-vous sur les correctifs de base et l'hygiène de sécurité.

Barry Shteiman, directeur de la stratégie de sécurité d'Imperva, a déclaré à SecurityWatch Barry qu'une vulnérabilité corrigée en 2010 et une autre en 2009 figuraient parmi les dix vulnérabilités Web les plus fréquemment ciblées. Malgré leur âge, les attaquants privés et industrialisés continuent de cibler ces vulnérabilités, car ces campagnes d’attaque sont "lucratives". L’attaque ne nécessite pas l’achat ou le développement d’exploits coûteux du jour zéro «comme les anciens qui sont largement disponibles fonctionnent aussi bien», a déclaré Shteiman.

Les pirates comprennent que les vulnérabilités les plus anciennes sont le fruit de la sécurité des applications Web. Les attaquants peuvent être sophistiqués s'ils en ont besoin, et des outils sont à leur disposition pour concevoir des campagnes complexes. Mais pourquoi s’inquiéter lorsque les utilisateurs conservent des versions obsolètes d’applications Web ou que les administrateurs ne tiennent pas un programme de correctifs régulier pour les applications. Le problème est encore plus répandu parmi les applications largement utilisées, telles que les logiciels de forum, les systèmes de gestion de contenu et même les outils de commerce électronique, a déclaré Shteiman.

Systèmes à risque

Toutes les vulnérabilités ciblées en avril étaient des attaques par injection, telles que des injections de fichiers et de SQL, et ont toutes été corrigées. La faille de 2010 exploitait un problème de gestion des privilèges dans ZeusCMS 0.2 et le bogue de 2009 était une injection SQL dans Zen Cart 1.3.8 et versions antérieures. "Les vulnérabilités ne semblent jamais mourir", a déclaré Shteiman.

Si les attaquants avaient connaissance d'un problème dans un CMS et que celui-ci avait été installé 10 millions de fois, rechercher des sites exécutant cette version du logiciel "a du sens", a déclaré Shteiman. Cela nécessite un Google-Fu judicieux et rien d’autre.

Imperva a fourni un tableau des dix principales vulnérabilités ciblées et trois choses sont apparues. La vulnérabilité "la plus récente" sur la liste date de 2013. Comme le montre le score CVSS, les vulnérabilités elles-mêmes ne sont pas des failles sophistiquées et extrêmement critiques. Et les exploits eux-mêmes ne sont pas si complexes.

Il y a eu de nombreuses attaques de masse contre les logiciels populaires de CMS, notamment WordPress et Joomla. Avec suffisamment de systèmes vulnérables sur le marché, il est beaucoup moins cher et plus facile pour les attaquants de rechercher ces systèmes plutôt que de lancer des attaques «zero day».

Augmentation du monde d'injection

Les attaquants utilisent simplement des vecteurs d’attaque existants et récemment découverts, a déclaré Shteiman. C’est pourquoi l’injection SQL et les scripts intersites restent des vecteurs d’attaque populaires. Le problème SQLi a été résolu il y a dix ans, mais le taux d'attaque reste élevé. Les scripts intersites ont représenté 40% des attaques au cours des trois derniers mois et les injections SQL 25%, a-t-il déclaré.

"Si nous avons un remède contre le cancer, vous vous attendez à voir une baisse du taux de mortalité. Mais ce n'est pas le cas pour l'injection de SQL", a déclaré Shteiman.

Un coup d'œil rapide sur Exploit-db.com confirme les observations de Shteiman. Parmi les sept exploits répertoriés dans les applications Web, cinq traitaient d'une manière ou d'une autre de logiciels standards, tels que WordPress, AuraCMS ou la plateforme d'entreprise sociale Sharetronix. Les attaques par injection XSS et SQL ont également été répertoriées fréquemment.

Les administrateurs, qu’ils gèrent des sites qui comptent des millions d’utilisateurs chaque jour ou un site avec une présence en ligne moins importante, doivent veiller à appliquer des correctifs réguliers à leurs logiciels. De nombreux développeurs de CMS ont simplifié le processus de mise à jour au sein de leur logiciel et il existe des outils pour aider à identifier toutes les applications installées. Les fonctionnalités non utilisées doivent être désactivées.

Bien sûr, les attaques du jour zéro et les attaques ciblées sont effrayantes. Mais si les attaquants viennent chercher vos données et votre site (et que les chances sont élevées, quelqu'un le voudra), ne vous facilitez pas les choses en créant des failles dans votre logiciel. Appliquez des correctifs, exécutez des outils d'évaluation et recherchez les comportements suspects. La vigilance est la clé.