Исследование AppSec Solutions: 84% мобильных приложений содержат уязвимости критического и высокого уровня

AppSec Solutions подвела предварительные итоги ежегодного исследования безопасности мобильных приложений. Результаты анализа показали, что 84% программ на платформе Android имеют уязвимости критического и высокого уровня.

Эксперты компании протестировали 1 269 приложений из 19 категорий, включая мобильное ПО для бизнеса (финансы, онлайн-ритейл, медицина и др.) и сервисы личного пользования (навигация и транспорт, игры, семья и дети и др). Специалисты оценивали приложения, входящие в ТОП-100 каждой категории, по 74 типам уязвимостей и анализировали возможные векторы атак.

Анализ проводился методом «черного ящика» — без доступа к исходному коду, что позволяет максимально точно воспроизвести реальные сценарии атак. Проверка безопасности выполнялась с помощью платформы автоматизированного анализа защищенности мобильных приложений AppSec.Sting.

По итогам исследования было выявлено 48 843 уязвимости. 84% Android-приложений содержат уязвимости критического и высокого уровня. Наличие таких ИБ-недостатков опасно тем, что они позволяют злоумышленнику получить полный контроль над приложением, системой или инфраструктурой, вплоть до прав администратора.

Среди наиболее распространенных проблем — уязвимости IPC, хранение данных в открытом виде и проблемы, связанные с безопасностью сторонних компонентов (SCA). Подобные недостатки были обнаружены практически в каждом втором приложении. Отдельное внимание эксперты уделяют проблеме хранения чувствительной информации непосредственно в коде приложений.

«Картина, которую мы наблюдаем не первый год, тревожна именно своей системностью. Больше всего проблем приложений связано с тем, что разработчики зашивают чувствительную информацию непосредственно в код. Только таких уязвимостей выявлено более 1500. При декомпиляции кода злоумышленники могут извлекать конфиденциальные данные и фактически “вскрывать” приложение без сложных атак. Требуется немедленный и кардинальный пересмотр всей парадигмы безопасности, интегрированный на каждом этапе жизненного цикла разработки, чтобы предотвратить потенциально катастрофические последствия для компаний и их пользователей», — отметил Никита Пинаев, руководитель продукта AppSec.Sting.

Полная версия исследования доступна для скачивания на сайте.