Bijna alle Java apps bevatten beveiligingsproblemen
In software worden allerlei componenten met regelmaat gebruikt. Dit is echter niet zonder risico. Zo bevat pakweg 97% van alle Java applicaties een component waarin ten minste één bekend beveiligingsprobleem aanwezig is.
Dit blijkt uit het State of Software Security 2016 rapport van VeraCode. Zo wijst VeraCode op een deserialisatie-kwetsbaarheid in een versie van Apache Commons Collection, die inmiddels is verholpen via een update. De kwetsbare versie blijkt echter door 26,3% van alle Java apps te worden gebruikt. Deze apps zijn hierdoor nog steeds kwetsbaar voor het probleem.
‘Controleer eigen code op problemen’
Het bedrijf stelt dat indien een beveiligingsprobleem opduikt in third-party software, dit voor organisaties aanleiding zou moeten zijn om hun eigen code te controleren op de bron van dit probleem. Ook benadrukt VeraCode dat ontwikkelaars weliswaar een ‘Software Composition Analysis’ kunnen uitvoeren, maar dat vergelijkbare problemen in andere componenten niet inzichtelijk maakt.
Ontwikkelaars nemen overigens al allerlei maatregelen om hun apps veilig te houden. Zo implementeren ontwikkelaars protocollen voor veilige communicatie. In de helft van alle gevallen is deze communicatie echter niet goed geconfigureerd, waardoor zij apps in de praktijk niet beschermen.
Zorgsector verhelpt de minste kwetsbaarheden
Een andere zorgwekkende conclusie uit het onderzoek is het feit dat de zorgsector op dit moment beveiligingsproblemen het minst snelst verhelpt van alle sectoren. Ook haalt de sector de op één na laagste score in de OWASP test van alle sectoren. Dit is opvallend, aangezien problemen met cryptografie en het beheer van inloggegevens in de sector veel voorkomen. VeraCode noemt de resultaten problematisch, zeker met het oog op recente ransomware aanvallen en andere cyberaanvallen op zorgorganisaties.
Ook blijkt uit het onderzoek dat de topkwartiel van organisaties bijna 70% meer kwetsbaarheden verhelpt dan de gemiddelde organisatie. Best practices en de inzet van eLearning kan er voor zorgen dat kwetsbaarheid zes maal vaker worden opgelost. Ontwikkelaars die software op onofficiële wijze testen via Developer Sandbox verhelpen beveiligingsproblemen twee maal zo vaak.
Rapport
Alle resultaten en meer informatie is te vinden in het State of Software Security 2016 rapport van VeraCode.
Meer over
Lees ook
Intel doopt McAfee om tot Intel Security
Intel maakt bekend de naam McAfee niet langer te zullen gebruiken voor zijn antivirusproducten. Het bedrijf wil hiermee de banden met de McAfee-oprichter John McAfee zo veel mogelijk verbreken. De McAfee-oprichter is de laatste jaren regelmatig negatief in het nieuws. Zo werd hij in 2012 gezocht voor moord in het Centraal-Amerikaanse land Belize.1
SANS publiceert resultaten onderzoek naar security Internet of Things
SANS heeft een onderzoek afgerond naar de security-aspecten van het Internet of Things. In het '2013 Securing the Internet of Things' geheten rapport zijn de resultaten gebundeld van gesprekken met 391 IT-specialisten. Daarin gaan zij in op de huidige stand van zaken rond Internet of Things en de nabije toekomst. Op 15 januari organiseert SANS een1
Kingston lanceert beveiligde USB-stick met USB 3.0-ondersteuning
Kingston lanceert de DataTraveler Locker+ G3 USB 3.0 Flash drive. De nieuwste generatie van de DataTraveler Locker+ G3 biedt dankzij USB 3.0 hogere datasnelheden dan zijn voorganger. De USB-sticks van Kingston zijn beveiligd met een wachtwoord en is voorzien van hardware die alle opgeslagen data automatisch versleuteld. Gebruikers kunnen hierdoor1