Операционные системы Apple подвергаются атакам злоумышленников, а также еще 4 тенденции уязвимостей

Согласно новому отчету, количество уязвимостей macOS, использованных в 2023 году, выросло более чем на 30%. В отчете о рейтингах уязвимостей программного обеспечения за 2024 год компании Action1, занимающейся разработкой программного обеспечения для управления исправлениями, также было обнаружено, что программы Microsoft Office становятся все более уязвимыми, в то время как злоумышленники с рекордной скоростью атакуют балансировщики нагрузки, такие как NGINX и Citrix.

Аналитики Action1 использовали данные из Национальной базы данных уязвимостей и сайта CVEdetails.com, чтобы сделать пять выводов о том, как изменилась картина угроз с 2022 по 2023 год. Обслуживание NVD значительно замедлилось с февраля, поскольку Национальный институт стандартов и технологий пытается справиться с большое количество представленных дефектов программного и аппаратного обеспечения. В NIST заявили, что замедление стало результатом «увеличения количества программного обеспечения и, следовательно, уязвимостей, а также изменения в межведомственной поддержке».

1. macOS и iOS все чаще подвергаются нападкам

В отчете говорится, что уровень эксплуатации macOS и iOS увеличился на 7% и 8% с 2022 по 2023 год, что позволяет предположить, что они все чаще становятся объектами атак злоумышленников.

Уровень эксплуатации определяется как отношение использованных уязвимостей к общему числу уязвимостей и является мерой восприимчивости программного обеспечения к эксплуатации. Напротив, уровень эксплуатации настольных операционных систем Windows оставался стабильным на уровне 4%, что свидетельствует о том, что у Microsoft есть стабильный процесс управления уязвимостями.

Несмотря на то, что общее количество выявленных уязвимостей macOS в 2023 году сократилось на 29%, было зарегистрировано 18 эксплуатируемых уязвимостей, что на 30% больше, чем годом ранее.

Что касается мобильных операционных систем, уровень эксплуатации iOS в 8% был значительно выше, чем 0,2% в Android. Это показывает, что, несмотря на то, что в общей сложности на устройствах Android было зарегистрировано больше уязвимостей, злоумышленники сосредоточили свои усилия на использовании iPhone.

iOS также подверглась наибольшему количеству атак с использованием удаленного кода среди всех мобильных операционных систем, проанализированных в 2021, 2022 и 2023 годах. Приложение с увеличенным количеством RCE может иметь больше потенциальных точек входа для злоумышленников. Авторы отчета говорят, что целевой характер iPhone, возможно, связан с восприятием ценных данных, которые они хранят.

«Рост количества эксплуатируемых уязвимостей для MacOS и iOS является тревожной тенденцией для Apple», — пишут аналитики. «По какой-то причине компании не удается устранить уязвимости до того, как ими воспользуются злоумышленники.

«Для организаций это означает, что они должны не только обеспечивать регулярные обновления для ОС Apple, но и рассмотреть возможность внедрения дополнительных мер безопасности для устройств Mac».

2. Балансировщики нагрузки имеют рекордную скорость эксплуатации.

У балансировщиков нагрузки NGINX и Citrix в 2023 году был очень высокий уровень эксплуатации — 100% и 57% соответственно. Несмотря на то, что уязвимости балансировщиков нагрузки составляют лишь 0,2% от общего числа уязвимостей с 2021 по 2023 год, уровень эксплуатации значителен из-за потенциального воздействия, которое может иметь успешная эксплуатация.

Злоумышленники могут получить возможность перехватывать, изменять и перенаправлять сетевой трафик, тем самым получая доступ к конфиденциальным данным и нарушая работу служб. Скомпрометированные балансировщики нагрузки также могут служить точками входа для дальнейших атак внутри сети.

СМОТРИТЕ: Около 2000 устройств Citrix NetScaler были скомпрометированы в ходе массовых атак

Например, уязвимость нулевого дня CitrixBleed 2023 года позволяла злоумышленникам отправить большой HTTP-запрос GET на NetScaler ADC или Citrix Gateway, что приводило к переполнению буфера и утечке соседней памяти. Агентство кибербезопасности и безопасности инфраструктуры США предупредило более 300 компаний об их уязвимости, а телекоммуникационная компания Xfinity сообщила, что конфиденциальная информация 36 миллионов клиентов была украдена в результате атак CitrixBleed.

Авторы отчета написали: «Для организаций это означает, что им необходимо уделять пристальное внимание обеспечению регулярных обновлений балансировщика нагрузки Citrix или искать альтернативы с учетом потребностей компании».

3. Рост числа уязвимостей RCE в Microsoft SQL Server

В 2023 году в Microsoft SQL Server было выявлено 17 уязвимостей, что на 1600% больше, чем в предыдущие годы. Каждый из них был RCE, что демонстрировало большое количество точек входа. Этот всплеск говорит о том, что злоумышленники все быстрее обнаруживают и используют неизвестные RCE и что в Microsoft SQL может остаться еще больше необнаруженных уязвимостей.

Авторы отчета написали: «MSSQL является прибыльной целью для хакеров из-за его широкого использования в корпоративных средах, где хранятся ценные данные, такие как информация о клиентах и ​​финансовые отчеты. Удаленный доступ делает его уязвимым для использования откуда угодно.

«Следовательно, организации должны уделять приоритетное внимание надежным мерам безопасности для защиты своих серверов MSSQL и предотвращения потенциальных утечек данных».

SEE: Согласно отчету BeyondTrust, в 2023 году количество уязвимостей безопасности Microsoft снизилось на 5%

4. Microsoft Office стал объектом атаки из-за вероятности человеческой ошибки

Microsoft Office имеет самое большое общее количество уязвимостей среди всех офисных приложений. Ежегодно около 80% его уязвимостей считаются критическими, и от 40 до 50% из них являются RCE. Кроме того, в 2023 году уровень его эксплуатации увеличился на 5%.

Злоумышленники считают, что офисные приложения легче использовать, чем другое программное обеспечение, поскольку они ориентированы на пользователя и, следовательно, подвержены человеческим ошибкам. Типичные действия пользователя, такие как открытие документов, включение макросов и нажатие на встроенные ссылки, могут использоваться как часть фишинговых атак.

СМОТРИТЕ: Фоллина злоупотребляет Microsoft Office для удаленного выполнения кода

Microsoft Office, в частности, широко используется и поэтому представляет собой наилучшую возможность для успешной атаки такого рода, поскольку он признан и пользуется доверием пользователей. Авторы пишут, что стоит ожидать новых фишинговых атак, направленных на эксплуатацию уязвимостей MS Office.

Они написали: «Это подчеркивает необходимость того, чтобы директора по информационной безопасности повышали осведомленность сотрудников о безопасности и улучшали мониторинг конечных точек с помощью систем защиты конечных точек, а также надежных исправлений».

5. В Microsoft Edge наблюдается резкий рост количества RCE и уязвимостей.

За последние три года в Edge было зафиксировано наибольшее количество уязвимостей RCE среди основных веб-браузеров — 14. Это число выросло на 500% с 2021 по 2022 год, а затем на 17% с 2022 по 2023 год. На их долю пришлось 10% всех зарегистрированных уязвимостей, тогда как всего 1% уязвимостей в Chrome и Firefox были уязвимостями RCE.

СМ.: Шпаргалка по Microsoft Edge

Кроме того, в 2023 году уровень использования уязвимостей Edge составил 7% — рост по сравнению с 5% в 2022 году — в то время как у Chrome и Firefox этот показатель составлял около 2% и 3% соответственно. Хотя в 2022 и 2023 годах у Edge было наименьшее количество зарегистрированных уязвимостей среди трех браузеров, их эксплуатация оказывается наиболее прибыльной для злоумышленников.

Авторы отчета объяснили: «Тот факт, что Edge сталкивается с увеличением числа RCE и используемых уязвимостей, несмотря на относительно небольшое общее количество уязвимостей, предполагает, что Microsoft еще не применяет программу управления уязвимостями для этого веб-браузера так строго, как это делает Google. для Chrome или Mozilla — для Firefox.

«Это означает, что, возможно, не стоит использовать Edge в качестве основного корпоративного веб-браузера».