6.jpg

Hầu hết trang web có ít nhất một lỗ hổng lớn, và có trên 80% trang web có lỗ hổng nghiêm trọng, theo báo cáo đánh giá mức độ bảo mật trang web vừa công bố của hãng bảo mật WhiteHat Security.

Báo cáo này dựa trên số liệu đánh giá điểm yếu của các trang web từ những khách hàng của chính WhiteHat Security, cho thấy 63% trang web có ít nhất một lỗ hổng cực nghiêm trọng (critical vulnerability). Trung bình mỗi trang web có 17 lỗ hổng chưa được vá.

“Những gì chúng tôi biết được từ báo cáo này là các trang web của các doanh nghiệp rất không an toàn” Jeremiah Grossman, giám đốc công nghệ của WhiteHat nói.

Top 10 loại lỗ hổng không thay đổi nhiều so với báo cáo tương tự của WhiteHat công bố vào tháng cuối năm 2008. Lỗ hổng XSS (pervasive cross-site scripting) - dạng lổ hổng trong ứng dụng web cho phép hacker chèn mã độc -  vẫn dẫn đầu và là lỗ hổng phổ biến nhất, với khoảng 65% cơ hội xuất hiện tại các trang web. Tiếp đến là lỗ hổng rò rỉ thông tin (information leakage), với 47% cơ hội xuất hiện tại các trang web.

“Nhiều khách hàng cũng nỗ lực vá những lỗ hổng nhưng thực sự là rất khó để lấp 100% lỗ hổng”, Grossman nói. “Thậm chí nếu bạn vá được 9 trong số 10 lỗ hổng XSS, bạn vẫn còn một lỗ hổng nữa. Đó là lý do tại số số trang web tồn tại lỗ hổng XSS”.

Theo báo cáo này, khoảng 30% trang web chứa lỗi cho phép giả mạo dữ liệu (content spoofing bug), 18% yếu kém về phân quyền, 17% mắc lỗi SQL, 11% mắc lỗi CSRF (cho phép hacker mượn quyền người quản trị web để thực hiện hành động không được phép), 10% có điểm yếu xác thực.

Các công ty kinh danh mạng xã hội có tới 82% cơ hội mắc những lỗ hổng khẩn cấp hoặc nghiêm trọng trong các trang web của họ; tỷ lệ này là 75% ở các công ty CNTT, 65% ở các công ty tài chính, 64% ở các công ty bảo hiểm, 61% ở các công ty bán lẻ, 59% ở các công ty dược và 54% ở các công ty viễn thông.

Báo cáo này cũng cho rằng trung bình có 7 lỗ hổng chưa được xử lý trong mỗi trang web nhưng chỉ có 60% các lỗ hổng này được chủ trang web phát hiện và tự vá. Điểm yếu về xác thực thường kéo dài 2 tháng mới được xử lý; xử lý rò rỉ thông tin mất 85 ngày, các lỗi XSS mất 58 ngày. Lỗi xử lý nhanh nhất là lỗi SQL mất 38 ngày.

Theo Darkreading