具有漏洞的組件

當應用程式中使用的庫和框架等組件幾乎總是以完全許可權執行時，就會發生這種威脅。如果利用易受攻擊的組件，則會使駭客的工作更容易導致嚴重的數據丟失或伺服器接管。

讓我們來瞭解這個漏洞的威脅代理，攻擊向量，安全弱點，技術影響和業務影響。

• 威脅代理 - 使用自動化工具識別和利用的框架。
• 攻擊者的方法 - 攻擊者通過掃描或手動分析識別組件。
• 安全弱點 - 識別所使用的組件是否在應用程式的深處變得更加複雜。
• 如何發現缺陷 - 當庫檔位於應用程式的最頂層時更容易。越深層越變得困難。
• 技術影響 - 各種各樣的弱點可能包括注入，破壞訪問控制xss等。影響可能從最小到數據洩露大到完全的主機接管。
• 業務影響 - 它可能是微不足道的，也可能意味著完全妥協。

示例

以下示例使用具有已知漏洞的組件 -

• 由於未能提供身份令牌，攻擊者可以通過完全許可權調用任何Web服務。
• 通過基於Java Spring框架的應用程式引入了具有運算式語言注入漏洞的遠程代碼執行。

預防機制

• 識別Web應用程式中使用的所有組件和版本，而不僅限於資料庫/框架。
• 保持所有組件，如公共資料庫，專案郵件列表等，保持最新。
• 在本質上易受攻擊的組件周圍添加安全包裝器。