{"id":55820,"date":"2022-01-11T14:45:45","date_gmt":"2022-01-11T13:45:45","guid":{"rendered":"https:\/\/biznes.t-mobile.pl\/?p=55820"},"modified":"2026-04-02T10:44:14","modified_gmt":"2026-04-02T08:44:14","slug":"najwazniejsze-podatnosci-i-luki-bezpieczenstwa-wykryte-w-2021-roku","status":"publish","type":"post","link":"https:\/\/biznes.t-mobile.pl\/pl\/najwazniejsze-podatnosci-i-luki-bezpieczenstwa-wykryte-w-2021-roku","title":{"rendered":"Najwa\u017cniejsze podatno\u015bci i luki bezpiecze\u0144stwa wykryte w 2021 roku"},"content":{"rendered":"\n\n\n
Z TEGO ARTYKU\u0141U DOWIESZ SI\u0118:<\/span><\/strong>\n
    \n
  1. JAKIE BY\u0141Y NAJCZ\u0118\u015aCIEJ WYKORZYSTYWANE LUKI BEZPIECZE\u0143STWA W\u00a02021?<\/strong><\/li>\n
  2. W JAKI SPOS\u00d3B CHRONI\u0106 SI\u0118 PRZED ZAGRO\u017bENIAMI WYNIKAJ\u0104CYMI Z\u00a0LUK BEZPIECZE\u0143STWA?<\/strong><\/li>\n
  3. W JAKI SPOS\u00d3B VULNERABILITY MANAGEMENT OGRANICZA RYZYKO WYKORZYSTANIA LUK BEZPIECZE\u0143STWA?<\/strong><\/li>\n
  4. NA CZYM POLEGA BADANIE WRA\u017bLIWO\u015aCI – SECURITY AWARENESS?<\/strong><\/li>\n
  5. JAKIE LUKI BEZPIECZE\u0143STWA W\u00a0OSTATNIM CZASIE NAJBARDZIEJ NARA\u017bA\u0141Y PRZEDSI\u0118BIORSTWA NA ATAK?<\/strong><\/li>\n<\/ol>\n<\/td>\n<\/tr>\n<\/thead>\n<\/table>\n

    Podatno\u015b\u0107 jest luk\u0105 w\u00a0oprogramowaniu pozwalaj\u0105c\u0105 atakuj\u0105cym wykona\u0107 dzia\u0142ania, kt\u00f3rych tw\u00f3rca softwaru nie przewidzia\u0142. Konsekwencj\u0105 wykorzystania luki mo\u017ce by\u0107 wyciek danych, zdobycie przez cyberprzest\u0119pc\u0119 uprawnie\u0144 umo\u017cliwiaj\u0105cych mu wykonanie dzia\u0142a\u0144 w\u00a0systemie lub ingerencj\u0119 w\u00a0kod oprogramowania. Najgro\u017aniejszym przypadkiem jest luka dnia zerowego, czyli b\u0142\u0105d w\u00a0oprogramowaniu, kt\u00f3ry nie zosta\u0142 jeszcze zidentyfikowany i\u00a0naprawiony przez dostawc\u0119 software\u2019u. Je\u015bli luka zostanie wykryta przez cyberprzest\u0119pc\u00f3w, zanim producent oprogramowania usunie podatno\u015b\u0107, mo\u017cliwe jest skuteczne przeprowadzanie atak\u00f3w. Podatno\u015bci mog\u0105 znale\u017a\u0107 si\u0119 w\u00a0oprogramowaniu stron internetowych, system\u00f3w operacyjnych, aplikacji i\u00a0urz\u0105dze\u0144. Z\u00a0poj\u0119ciem podatno\u015bci \u0142\u0105czy si\u0119 exploit, czyli kod oprogramowania lub technika wykorzystuj\u0105ca luk\u0119 w\u00a0oprogramowaniu do przeprowadzenia ataku lub uzyskania nieautoryzowanego dost\u0119pu.<\/p>\n

    Najcz\u0119\u015bciej wykorzystywane luki bezpiecze\u0144stwa w\u00a02021<\/strong><\/p>\n

    Wed\u0142ug opublikowanego w\u00a0po\u0142owie 2021 raportu Risk Based Security[i]<\/a> nast\u0105pi\u0142 w\u00a0por\u00f3wnaniu z\u00a02020 wzrost o\u00a02,8% liczby ujawnionych luk w\u00a0zabezpieczeniach. Zesp\u00f3\u0142 zajmuj\u0105cy si\u0119 kategoryzacj\u0105 tych zdarze\u0144 odnotowywa\u0142 w\u00a0pierwszej po\u0142owie 2021 \u015brednio 80 nowych podatno\u015bci w\u00a0zabezpieczeniach dziennie. W\u00a0raporcie podano tak\u017ce liczb\u0119 luk w\u00a0zabezpieczeniach w\u00a0drugim kwartale 2021 dla poszczeg\u00f3lnych system\u00f3w. Najwi\u0119cej odnotowano ich w\u00a0oprogramowaniu Debian Linux (628), systemie Fedora (584), openSuSE Leap (526) i\u00a0dla Ubuntu (443). W\u00a0pierwszej dziesi\u0105tce producent\u00f3w pod wzgl\u0119dem ujawnie\u0144 luk w\u00a0zabezpieczeniach w\u00a0drugim kwartale 2021 r. znalaz\u0142y si\u0119: Microsoft (627), SUSE (590), Fedora (584), IBM (547) oraz Oracle i\u00a0Google – powy\u017cej 500. List\u0119 uzupe\u0142ni\u0142y Cisco, Canonical i\u00a0Red Hat z\u00a0ponad 400 ujawnionymi lukami.<\/p>\n

    W lipcu 2021 r. ameryka\u0144ska Cybersecurity and Infrastructure Security Agency (CISA) opublikowa\u0142a raport[ii]<\/a> szczeg\u00f3\u0142owo opisuj\u0105cy najistotniejsze luki w\u00a0zabezpieczeniach w\u00a0latach 2020 i\u00a02021. Z\u00a0raportu wynika, \u017ce cyberprzest\u0119pcy najcz\u0119\u015bciej wykorzystuj\u0105 podatno\u015bci znalezione po 2019 roku i\u00a0maj\u0105ce znaczenie dla pracy zdalnej w\u00a0rozwi\u0105zaniach VPN (Virtual Private Network) i\u00a0w technologiach opartych na chmurze.<\/p>\n

    Jak chroni\u0107 si\u0119 przed zagro\u017ceniem?<\/strong><\/p>\n

    Podstawow\u0105 form\u0105 ochrony przed zagro\u017ceniem wynikaj\u0105cym z\u00a0luk bezpiecze\u0144stwa jest ich jak najszybsze \u0142atanie. Cz\u0119sto jednak proces \u015bledzenia wszystkich aktualizacji oprogramowania bywa trudny, poniewa\u017c \u0142atki dostarczane s\u0105 z\u00a0pewnym op\u00f3\u017anieniem. Nie oznacza to jednak, \u017ce przedsi\u0119biorstwa s\u0105 w\u00a0tej sytuacji bezbronne. Wykrywanie podatno\u015bci, a\u00a0nawet podejrzanych zachowa\u0144 w\u00a0systemie mog\u0105cych wskazywa\u0107 na wykorzystanie luk, jest mo\u017cliwe dzi\u0119ki ekspertom od bezpiecze\u0144stwa, kt\u00f3rzy dysponuj\u0105 odpowiednim do\u015bwiadczeniem i\u00a0narz\u0119dziami. Nie ka\u017cda firma mo\u017ce pozwoli\u0107 sobie na zatrudnienie i\u00a0utrzymanie zespo\u0142u specjalist\u00f3w ds. cyberbezpiecze\u0144stwa, dlatego kluczowe mo\u017ce by\u0107 powierzenie opieki nad systemami wyspecjalizowanym zespo\u0142om zajmuj\u0105cym si\u0119 ochron\u0105 IT.<\/p>\n

    Mo\u017cliwo\u015b\u0107 skorzystania z\u00a0takich us\u0142ug zapewniaj\u0105 zewn\u0119trzne centra danych. T\u2011Mobile dostarcza sta\u0142y monitoring zespo\u0142\u00f3w bezpiecze\u0144stwa Security Operations Center (SOC) we w\u0142asnych Data Center, pomagaj\u0105c wykrywa\u0107 i\u00a0zapobiega\u0107 atakom przez ca\u0142\u0105 dob\u0119. Us\u0142ugi oferowane w\u00a0ramach SOC pozwalaj\u0105 ekspertom ds. bezpiecze\u0144stwa m.in. zatrzymywa\u0107 ataki prowadz\u0105ce do wycieku danych lub przej\u0119cia kontroli nad aplikacjami. W\u00a0ramach tych rozwi\u0105za\u0144 dost\u0119pne s\u0105 r\u00f3wnie\u017c mechanizmy Vulnerability Management<\/strong>, kt\u00f3re umo\u017cliwiaj\u0105 analiz\u0119, wykrywanie i\u00a0wskazywanie podatno\u015bci system\u00f3w operacyjnych oraz aplikacji znajduj\u0105cych si\u0119 na serwerach lub komputerach u\u017cytkownik\u00f3w. Dodatkowo dostarczane raporty informuj\u0105, jakie dzia\u0142ania nale\u017cy podj\u0105\u0107, aby zabezpieczy\u0107 organizacj\u0119 przed zagro\u017ceniami \u2013 od zastosowania odpowiednich poprawek po aktualizacj\u0119 oprogramowania do bezpiecznej wersji.<\/p>\n

    Ka\u017cda organizacja powinna cyklicznie weryfikowa\u0107 pod k\u0105tem bezpiecze\u0144stwa takie elementy jak infrastruktura teleinformatyczna, zabezpieczenia aplikacji WEB, punkt styku z\u00a0Internetem oraz kultur\u0119 bezpiecze\u0144stwa. T\u2011Mobile realizuje Badanie Wra\u017cliwo\u015bci<\/a> umo\u017cliwiaj\u0105ce kontrol\u0119 rzeczywistego stanu ochrony organizacji przez zagro\u017ceniami. W\u00a0ramach tej us\u0142ugi sprawdzana jest odporno\u015b\u0107\u00a0 przedsi\u0119biorstwa na niebezpiecze\u0144stwa wynikaj\u0105ce z\u00a0niepo\u017c\u0105danych i\u00a0niespodziewanych zdarze\u0144 zak\u0142\u00f3caj\u0105cych funkcjonowanie biznesu.<\/p>\n

    Sprawd\u017a te\u017c: Ochrona danych na smartfonie firmowym<\/a><\/p>\n

    Lista niekt\u00f3rych istotnych podatno\u015bci wykrytych w\u00a02021 roku<\/strong><\/p>\n

    Git[iii]<\/a> – podatno\u015b\u0107 istotna dla developer\u00f3w korzystaj\u0105cych z\u00a0tego narz\u0119dzia<\/p>\n

    Git to rozproszony system kontroli wersji oprogramowania. B\u0142\u0105d wykryty zosta\u0142 w\u00a0marcu 2021, ale po raz pierwszy znalaz\u0142 si\u0119 w\u00a0wersji 2.14.2 z\u00a02017 roku. Pozwala\u0142 na wykonanie obcego kodu podczas operacji klonowania. Luka dotyczy\u0142a tylko u\u017cytkownik\u00f3w z\u00a0systemami plik\u00f3w nie rozr\u00f3\u017cniaj\u0105cych wielko\u015bci liter z\u00a0obs\u0142ug\u0105 dowi\u0105za\u0144 symbolicznych. Dodatkowo, aby atak zadzia\u0142a\u0142 musia\u0142y by\u0107 w\u0142\u0105czone specjalne filtry Git LFS. Rozwi\u0105zaniem jest aktualizacja narz\u0119dzia do najnowszej wersji, kt\u00f3ra nie posiada ju\u017c tej luki.<\/p>\n

    Node.js[iv]<\/a> – aplikacje, systemy i\u00a0rozwi\u0105zania wykorzystywane do \u0142\u0105czenia w\u00a0Internecie<\/p>\n

    Node.js wykorzystywany jest w\u00a0wielu zastosowaniach, od aplikacji chat po systemy wbudowane i\u00a0urz\u0105dzenia po\u0142\u0105czone z\u00a0Internetem. Node.js podatny by\u0142 na ataki Remote Code Execution XSS. Mo\u017cliwo\u015b\u0107 ataku wynika\u0142a z\u00a0braku weryfikacji danych wej\u015bciowych nazw host\u00f3w zwracanych przez serwery nazw domen w\u00a0bibliotece Node.js DNS. W\u00a0efekcie prowadzi\u0142o to do tworzenia b\u0142\u0119dnych nazw host\u00f3w i\u00a0pozwala\u0142o na przej\u0119cie kontroli nad domenami.<\/p>\n

    Systemy do zarz\u0105dzania tre\u015bci\u0105 WordPress i\u00a0Joomla<\/p>\n

    WordPress wykorzystywany jest w\u00a0ponad 455 milionach witryn, w\u00a0tym tak\u017ce biznesowych. Jest to platforma otwarta, umo\u017cliwiaj\u0105ca tworzenie dodatk\u00f3w (plug-in) oraz temat\u00f3w graficznych, co powoduje, \u017ce ka\u017cdego roku pojawiaj\u0105 si\u0119 tysi\u0105ce nowych komponent\u00f3w, potencjalnie zawieraj\u0105cych luki w\u00a0oprogramowaniu. Wymaga to systematycznego \u0142atania instalacji przez u\u017cytkownik\u00f3w. Tak\u017ce sama platforma jest stale poddawana aktualizacjom. Przyk\u0142adowo, odkryta i\u00a0za\u0142atana w\u00a02021 roku luka w\u00a0zabezpieczeniach WordPress XXE[v]<\/a> umo\u017cliwia\u0142a atakuj\u0105cym dost\u0119p do plik\u00f3w hosta.<\/p>\n

    Nara\u017cony na podatno\u015bci jest tak\u017ce system zarz\u0105dzania tre\u015bci\u0105 Joomla, zainstalowany na oko\u0142o 1,5 miliona stron internetowych. W\u00a02021 wykryto m.in. dwie luki w\u00a0zabezpieczeniach \u2013 luk\u0119 resetowania has\u0142a i\u00a0luk\u0119 w\u00a0przechowywanych skryptach krzy\u017cowych (XSS)[vi]<\/a>. Zosta\u0142y one odkryte przez analityk\u00f3w bezpiecze\u0144stwa z\u00a0Fortbridge i\u00a0ujawnione programistom Joomla odpowiednio w\u00a0lutym i\u00a0marcu.<\/p>\n

    Luka w\u00a0zabezpieczeniach Teams po stronie serwera[vii]<\/a><\/p>\n

    Szacuje si\u0119, \u017ce Microsoft Teams posiada ponad 100 milion\u00f3w aktywnych u\u017cytkownik\u00f3w. Odkryta luka umo\u017cliwia\u0142a osobie atakuj\u0105cej przej\u0119cie kontroli nad kontem u\u017cytkownika ko\u0144cowego. Mog\u0142a zapewni\u0107 mu dost\u0119p do historii czat\u00f3w ofiary, mo\u017cliwo\u015b\u0107 czytania i\u00a0wysy\u0142ania wiadomo\u015bci e-mail w\u00a0imieniu ofiary oraz dost\u0119p do plik\u00f3w OneDrive. Luka znajdowa\u0142a si\u0119 po stronie serwera i\u00a0zosta\u0142a naprawiona przez Microsoft bez konieczno\u015bci interwencji ze strony u\u017cytkownika.<\/p>\n

    Luka w\u00a0Cloudflare CDN[viii]<\/a><\/p>\n

    Cloudflare za\u0142ata\u0142 luk\u0119, kt\u00f3ra mog\u0142a doprowadzi\u0107 do udanych cyberatak\u00f3w na 12,7% spo\u015br\u00f3d wszystkich stron internetowych korzystaj\u0105cych z\u00a0bibliotek JavaScript i\u00a0CSS cdnjs hostowanych przez dostawc\u0119 us\u0142ug CDN. Luka zosta\u0142a za\u0142atana, zanim cyberprzest\u0119pcy mogli przygotowa\u0107 narz\u0119dzia wykorzystuj\u0105ce podatno\u015bci.<\/p>\n

    Potencjalnie mog\u0142a ona umo\u017cliwi\u0107 atakuj\u0105cym wykonanie dowolnych polece\u0144 i\u00a0z\u0142amanie zabezpiecze\u0144 ca\u0142ej biblioteki cdnjs. W\u00a0efekcie pozwoli\u0142aby cyberprzest\u0119pcom na pobieranie dowolnych plik\u00f3w z\u00a0systemu plik\u00f3w serwera. Poniewa\u017c wiele system\u00f3w operacyjnych zachowuje krytyczne informacje w\u00a0standardowych katalogach, na przyk\u0142ad systemy uniksowe przechowuj\u0105 has\u0142a w\u00a0\u201e\/etc\/passwd\u201d, atakuj\u0105cy mogliby uzyska\u0107 dost\u0119p do katalog\u00f3w zawieraj\u0105cych informacje, kt\u00f3re pozwoli\u0142yby im przej\u0105\u0107 kontrol\u0119 nad stronami internetowymi.<\/p>\n

    B\u0142\u0105d w\u00a0oprogramowaniu VMware vCenter Server<\/p>\n

    We wrze\u015bniu firma VMware ujawni\u0142a, \u017ce w\u00a0oprogramowaniu vCenter Server znajduje si\u0119 b\u0142\u0105d umo\u017cliwiaj\u0105cy przesy\u0142anie dowolnego pliku w\u00a0us\u0142udze Analytics. Cyberprzest\u0119pca m\u00f3g\u0142 wykorzysta\u0107 t\u0119 luk\u0119 do wykonania kodu na serwerze vCenter Server. W\u00a0efekcie mo\u017cliwa by\u0142aby kradzie\u017c poufnych danych oraz w\u0142asno\u015bci intelektualnej, a\u00a0tak\u017ce ataki ransomware z\u00a0wymuszaniem okupu od ofiar. Firma VMware udost\u0119pni\u0142a aktualizacje usuwaj\u0105ce to zagro\u017cenie.<\/p>\n

    Podatno\u015b\u0107 umo\u017cliwiaj\u0105ca zdalne przejmowanie Windows Serwer\u00f3w<\/p>\n

    \u201ePrintNightmare\u201d to nazwa przypisana do krytycznej luki bufora wydruku systemu Windows, kt\u00f3ra umo\u017cliwia\u0142a wykonanie dowolnego kodu z\u00a0uprawnieniami na poziomie systemu. Osoba atakuj\u0105ca, kt\u00f3rej uda\u0142oby si\u0119 wykorzysta\u0107 t\u0119 luk\u0119, mog\u0142a uruchomi\u0107 dowolny kod z\u00a0uprawnieniami SYSTEM. Atakuj\u0105cy m\u00f3g\u0142 w\u00f3wczas zainstalowa\u0107 programy, przegl\u0105da\u0107, zmienia\u0107 i\u00a0usuwa\u0107 dane lub utworzy\u0107 nowe konta z\u00a0pe\u0142nymi prawami u\u017cytkownika. Warto doda\u0107, \u017ce pierwszego zg\u0142oszenia tej luki Microsoftowi dokona\u0142 Polak, Piotr Madej[ix]<\/a>. Podatno\u015b\u0107 zosta\u0142a za\u0142atana w\u00a0lipcu 2021[x]<\/a>.<\/p>\n

    Podsumowanie<\/h1>\n

    Przypomnijmy najwa\u017cniejsze informacje dotycz\u0105ce luk bezpiecze\u0144stwa:<\/p>\n