Niebezpieczne luki a aktualizacja oprogramowania

Przeczytaj także: Wyszukiwarki internetowe a exploity

Ogólne dane

W ciągu 52 tygodni na komputerach użytkowników wykryliśmy w sumie 806 unikalnych luk. Najstarsza z nich została zidentyfikowana w lutym 2003 r., najnowsza pochodziła z grudnia 2012 r.

Najlepszą strategią, aby uniknąć potencjalnych zagrożeń związanych z wrażliwym oprogramowaniem jest aktualizowanie wszystkich programów na bieżąco (choć to nie wystarczy). Wiek wykrytych luk wykazuje, że użytkownicy nie przestrzegają procedury aktualizacji, za wyjątkiem tych kilku przypadków, kiedy to producent oprogramowania niechętnie wydaje aktualizację. Oczywiście, czasami każdy ma prawo zapomnieć o rzadko używanym programie lub wyłączyć drażniące powiadomienia. Analiza terminów wykrycia dla wszystkich luk maluje ponury obraz: niemalże dwie trzecie (64%) wykrytych wad oprogramowania znajduje się w programach, które są mniej lub bardziej przestarzałe (wydane w 2010 r. lub wcześniej). Jednak w celu uzyskania jasnego obrazu, musimy wziąć pod uwagę „popularność” niektórych wrażliwych programów. W tym celu liczyliśmy tylko te luki, które zostały znalezione na co najmniej 10% komputerów w pewnym momencie w trakcie roku.

Tutaj można naprawdę zobaczyć różnicę. Tylko 37 luk było na tyle wystarczająco rozpowszechnionych, aby przedostać się przez nasz sztuczny filtr. Podział ze względu na wiek jest również trochę inny: zdecydowana większość popularnych luk została odkryta w roku 2011 i 2012, a tylko trzy podatne programy pochodzą z roku 2010 lub z okresu wcześniejszego (wraz z najbardziej zauważalną luką znalezioną w Microsoft Office 2007).

37 luk z tego zestawienia występowało dla ponad 70% przypadków wszystkich wrażliwych aplikacji, wykrytych podczas 2012 r. Należy jednak pamiętać, że setki rzadkich luk wciąż może być potencjalnie stosowanych w atakach ukierunkowanych na firmy.

Dotknięte oprogramowanie

7 najważniejszych luk występuje w 10 różnych rodzinach produktów. Najbardziej podatnymi produktami są: Adobe Shockwave / Flash Player, Apple iTunes / QuickTime i Oracle Java. W tych produktach występuje 28 luk znalezionych na ponad 10% komputerów użytkowników w roku 2012.

Poziom ważności

Jedną z najważniejszych cech luki jest jej ważność. W bazie danych luk Kaspersky Lab najmniej ważne luki posiadają współczynnik 1 (nie są krytyczne), a najważniejsze luki współczynnik 5 (wyjątkowo krytyczne). Luki o poziomie ważności 5 są uważane za najbardziej niebezpieczne, ponieważ teoretycznie mogą zostać bardzo łatwo wykorzystane i najprawdopodobniej doprowadzić do utraty ważnych danych. W oparciu o poziom ważności dla każdej z 37 najważniejszych luk obliczyliśmy średni stopień zagrożenia, który wyniósł 3,7 – wartość gdzieś pomiędzy „umiarkowanie krytyczną” a „wysoce krytyczną”.

Wyjątkowo niebezpieczne wady oprogramowania

W tej części przeanalizujemy osiem luk wybranych z 37 luk bezpieczeństwa oprogramowania, które były aktywnie wykorzystywane przez cyberprzestępców w rozpowszechnionych pakietach exploitów. Chociaż większość z tych najbardziej powszechnych luk występuje w produktach Adobe, to najczęściej wykorzystywane luki rezydują w Javie firmy Oracle.

W dalszej części raportu analizujemy luki pogrupowane według odpowiednich programów.

Luki w Javie firmy Oracle

Java jest niekwestionowanym „liderem” jeżeli chodzi o liczbę wykrytych luk, a sam rok 2012 był bardzo ciężki dla firmy Oracle. Pięć głównych luk zostało wykrytych w oprogramowaniu Oracle, z najwcześniej odkrytą luką w październiku 2011 roku i najnowszą z październiku 2012 r. Ewolucja luk Javy oraz częstość ich występowania jest zilustrowana na poniższym wykresie: