Composants avec des vulnérabilités

Ce type de menace se produit lorsque les composants tels que les bibliothèques et les frameworks utilisés dans l'application s'exécutent presque toujours avec tous les privilèges. Si un composant vulnérable est exploité, cela facilite le travail du pirate en provoquant une grave perte de données ou une prise de contrôle du serveur.

Comprenons les agents de menace, les vecteurs d'attaque, la faiblesse de la sécurité, l'impact technique et les impacts commerciaux de cette faille à l'aide d'un diagramme simple.

Exemple

Les exemples suivants illustrent l'utilisation de composants présentant des vulnérabilités connues -

  • Les attaquants peuvent invoquer n'importe quel service Web avec une autorisation complète en ne fournissant pas de jeton d'identité.

  • L'exécution de code à distance avec la vulnérabilité d'injection de langage d'expression est introduite via Spring Framework pour les applications Java.

Mécanismes préventifs

  • Identifiez tous les composants et les versions qui sont utilisés dans les applications Web, pas seulement limités aux bases de données / frameworks.

  • Gardez à jour tous les composants tels que les bases de données publiques, les listes de diffusion de projets, etc.

  • Ajoutez des wrappers de sécurité autour des composants vulnérables par nature.