×
78% российских систем ДБО имеют уязвимости высокого уровня риска

В ходе работ по анализу защищенности для ряда крупнейших российских банков эксперты Positive Technologies выяснили, что в 78% исследованных систем дистанционного банковского обслуживания имеются уязвимости высокого уровня риска. Большая их часть (42%) связана с ошибками реализации механизмов защиты систем ДБО, заложенных разработчиками. В частности, к данной категории уязвимостей относятся недостатки механизмов идентификации, аутентификации и авторизации. На втором месте - уязвимости, связанные с ошибками в коде приложений (36%). Остальные уязвимости в основном связаны с недостатками конфигурации (22%).

 

Такие серьезные недостатки систем ДБО позволяют проводить несанкционированные транзакции или даже получить полный контроль над системой со стороны внешнего злоумышленника, что может привести к существенным финансовым и репутационным потерям.

 

Наиболее часто - в 57% случаев - в системах ДБО встречались уязвимости, связанные с возможностью идентификации используемого ПО и с предсказуемыми форматами идентификаторов пользователей. В 54% систем обнаружены ошибки в программном коде типа "Межсайтовое выполнение сценариев". Если при наличии этой уязвимости в системе клиент банка перейдет по специально сформированной вредоносной ссылке, атакующий может получить доступ к системе ДБО с привилегиями данного клиента.

 

Распространены также уязвимости, позволяющие реализовать атаки на сессии пользователей (54% систем). Сюда относятся уязвимости, связанные с некорректным завершением сессий, некорректной настройкой cookie-параметров, возможностью параллельной работы нескольких сессий для одного пользователя, отсутствием привязки сессии к IP-адресу клиента и др. При успешной атаке злоумышленник может получить доступ к личному кабинету пользователя с его привилегиями.

 

В число наиболее распространенных вошла уязвимость высокой степени риска "Внедрение внешних сущностей XML", которая обнаружена в 46% систем. В результате ее эксплуатации злоумышленник может получить содержимое файлов, хранящихся на уязвимом сервере, данные об открытых сетевых портах узла, вызвать отказ в обслуживании всей системы ДБО, а также, в ряде случаев, обратиться к произвольному узлу от лица уязвимого сервера и развить атаку.

 

Отказ в обслуживании системы ДБО может быть вызван с использованием различных уязвимостей в половине исследованных ресурсов (52%).

 

Исследованные системы ДБО содержат также ряд существенных недостатков на уровне логики. К примеру, в ряде систем была обнаружена возможность атак на основе некорректного использования алгоритмов округления чисел при, скажем, переводе рублей в доллары и обратно, что дает злоумышленникам возможность получать неограниченные суммы денежных средств.