Les données issues de 3 900 tests effectués sur 2 600 logiciels ou systèmes cibles révèlent que 97 % d'entre eux présentent une forme de vulnérabilité, 30 % des cibles présentent des vulnérabilités à haut risque et 6 % des vulnérabilités à risque critique.Dans l'étude de Synopsys, 83 % des cibles testées étaient des applications ou des systèmes Web, 12 % des applications mobiles, et le reste du code source ou des systèmes/applications réseau. Les secteurs représentés dans les tests comprennent les logiciels et l'Internet, les services financiers, les services aux entreprises, l'industrie manufacturière, les médias et le divertissement, ainsi que la santé.
"Les déploiements basés sur le cloud, les cadres technologiques modernes et le rythme rapide des livraisons obligent les groupes de sécurité à réagir plus rapidement dès la sortie des logiciels", explique Girish Janardhanudu, vice-président du conseil en sécurité chez Synopsys Software Integrity Group. "Les ressources AppSec étant insuffisantes sur le marché, les organisations tirent parti des services de test d'applications tels que ceux proposés par Synopsys afin de faire évoluer leurs tests de sécurité de manière flexible. Nous avons constaté une forte augmentation de la demande d'évaluation tout au long de la pandémie."
Les 10 principales vulnérabilités de l'OWASP (Open Web Application Security Project) ont été découvertes dans 76 % des cibles, tandis que les mauvaises configurations des applications et des serveurs représentaient 21 % de l'ensemble des vulnérabilités découvertes.
Sur les applications mobiles, 80 % des vulnérabilités découvertes concernent le stockage non sécurisé des données, ce qui pourrait permettre à un attaquant d'accéder à un appareil mobile, physiquement ou par le biais d'un logiciel malveillant. 53 % des tests mobiles ont révélé des vulnérabilités liées à des communications non sécurisées.
Bien que 64 % des vulnérabilités découvertes lors des tests soient considérées comme présentant un risque minimal, faible ou moyen, même celles-ci peuvent être exploitées pour faciliter les attaques, de sorte que leur découverte n'est pas un exercice inutile.
Des bibliothèques tierces vulnérables ont été découvertes dans 18 % des tests de pénétration réalisés, ce qui souligne la nécessité d'une nomenclature des logiciels pour suivre l'utilisation des composants.
Source : Synopsys
Et vous ?
52 % des applications du secteur de la santé présentent au moins une vulnérabilité sérieuse - classée "élevée" ou "critique" sur l'échelle CVSS - ouverte tout au long de l'année, selon NTT Les entreprises continuent de rencontrer des difficultés avec la sécurité des applications, alors que les menaces se développent rapidement et ne sont pas détectées à temps, selon NTT 46 % des bases de données sur site dans le monde présentent des vulnérabilités, les bases de données standards présentent 26 vulnérabilités et expositions communes, selon une enquête d'Imperva