7 najhorších softvérových chýb všetkých čias

Všetky počítačové programy sa spoliehajú na fungovanie kódu, ale chyby v kódovaní môžu ustúpiť zraniteľnostiam softvéru. Niektoré z nich viedli k rozsiahlej panike a strašným následkom, ktoré otriasli svetom kybernetickej bezpečnosti.

Ktoré softvérové ​​chyby sú teda najväčšie a najnebezpečnejšie?

1. Log4Shell

Zraniteľnosť softvéru Log4Shell existovala v rámci Apache Log4j, populárneho protokolovacieho rámca Java, ktorý používajú desiatky miliónov ľudí na celom svete.

V novembri 2021 objavil Chen Zhaojun, člen tímu Alibaba Cloud Security Team, kritickú chybu v kódovaní. Zhaojun si prvýkrát všimol chybu na serveroch Minecraft.

Chyba s oficiálnym názvom CVE-2021-44228 sa stala známou ako Log4Shell.

Bezpečnostná chyba Log4Shell je a zero-day zraniteľnosť, takže ho zneužili záškodníci skôr, ako si ho všimli odborníci na kybernetickú bezpečnosť, čo znamená, že mohli spustiť vzdialené spúšťanie kódu. Prostredníctvom toho mohli hackeri nainštalovať škodlivý kód do Log4j, čo by umožnilo krádež údajov, špehovanie a šírenie malvéru.

Aj keď bola oprava pre zraniteľnosť Log4Shell vydaná krátko po jej objavení, táto bezpečnostná chyba v žiadnom prípade nie je minulosťou.

Kyberzločinci stále používajú Log4Shell vo svojich exploitoch dodnes, hoci záplata výrazne znížila úroveň hrozby. Podľa Rezilion, šokujúcich 26 percent verejných serverov Minecraft je stále zraniteľných voči Log4Shell.

Ak spoločnosť alebo jednotlivec neaktualizoval svoj softvér, zraniteľnosť Log4Shell bude pravdepodobne stále existovať a poskytne útočníkom otvorené dvere.

2. EternalBlue

EternalBlue (oficiálne známy ako MS17-010) je softvérová zraniteľnosť, ktorá začala spôsobovať rozruch v apríli 2017. Na tejto zraniteľnosti je prekvapujúce, že ju čiastočne vyvinula NSA, obrovská americká spravodajská agentúra známa tým, že pomáha americkému ministerstvu obrany s vojenskými záležitosťami.

NSA objavila v Microsofte zraniteľnosť EternalBlue, hoci až o päť rokov neskôr si Microsoft uvedomil chybu. Na EternalBlue pracovala NSA ako na možnej kybernetickej zbrani a bolo potrebné hacknutie, aby o tom bol svet informovaný.

V roku 2017 hackerská skupina známa ako Shadow Brokers odhalila existenciu EternalBlue po digitálnej infiltrácii do NSA. Ukázalo sa, že chyba poskytla NSA tajný prístup zadných vrátok k celému radu zariadení so systémom Windows vrátane zariadení so systémom Windows 7, Windows 8, a často hanobený Windows Vista. Inými slovami, NSA mohla pristupovať k miliónom zariadení bez vedomia používateľov.

Hoci existuje oprava pre EternalBlue, nedostatočné povedomie spoločnosti Microsoft a verejnosti o chybe spôsobilo, že zariadenia boli roky zraniteľné.

3. Srdcové krvácanie

Bezpečnostná chyba Heartbleed bola oficiálne objavená v roku 2014, hoci bola prítomná v knižnici kódov OpenSSL už dva roky predtým. Niektoré zastarané verzie knižnice OpenSSL obsahovali Heartbleed, ktorý bol po objavení považovaný za závažný.

Heartbleed, oficiálne známy ako CVE-2014-0160, bol dosť kritickým problémom kvôli jeho umiestneniu v OpenSSL. Pretože OpenSSL bol použitý ako Vrstva šifrovania SSL medzi databázami webových stránok a koncovými používateľmi bolo možné získať prístup k mnohým citlivým údajom prostredníctvom chyby Heartbleed.

Počas tohto komunikačného procesu však došlo k ďalšiemu spojeniu, ktoré nebolo šifrované, akási základná vrstva, ktorá zaisťovala, že oba počítače v konverzácii sú aktívne.

Hackeri našli spôsob, ako zneužiť túto nešifrovanú komunikačnú linku na vytlačenie citlivých údajov z predtým zabezpečeného počítača. Útočník by v podstate zahltil systém požiadavkami v nádeji, že získa späť nejaké šťavnaté informácie.

Heartbleed bol opravený v rovnakom mesiaci ako jeho oficiálny objav, ale staršie verzie OpenSSL môžu byť stále zraniteľné voči chybe.

4. Dvojité zabitie

Double Kill (alebo CVE-2018-8174) bola kritická zraniteľnosť zero-day, ktorá ohrozila systémy Windows. Táto chyba, ktorá bola objavená v roku 2018, sa dostala na titulky správ o kybernetickej bezpečnosti vďaka jej prítomnosti vo všetkých operačných systémoch Windows od 7.

Double Kill sa nachádza v prehliadači Windows Internet Explorer a využíva chybu skriptu VB. Metóda útoku zahŕňa použitie škodlivej webovej stránky Internet Explorer, ktorá obsahuje kód potrebný na zneužitie zraniteľnosti.

Double Kill má potenciál poskytnúť útočníkom rovnaké systémové oprávnenia ako pôvodný autorizovaný používateľ, ak je správne zneužitý. V takýchto situáciách môžu útočníci dokonca získať úplnú kontrolu nad zariadením so systémom Windows.

V máji 2018 vydal Windows opravu pre Double Kill.

5. CVE-2022-0609

CVE-2022-0609 je ďalšou závažnou softvérovou zraniteľnosťou identifikovanou v roku 2022. Chyba založená na prehliadači Chrome sa ukázala ako zraniteľnosť nultého dňa, ktorú útočníci vo voľnej prírode zneužili.

Táto chyba zabezpečenia by mohla ovplyvniť všetkých používateľov prehliadača Chrome, a preto je jej úroveň závažnosti taká vysoká. CVE-2022-0609 je to, čo je známe ako a chyba bez použitia po použití, čo znamená, že má schopnosť meniť údaje a spúšťať kód na diaľku.

Netrvalo dlho a Google vydal opravu pre CVE-2022-0609 v aktualizácii prehliadača Chrome.

6. BlueKeep

V máji 2019 Kevin Beaumont, odborník na kybernetickú bezpečnosť, objavil kritickú softvérovú chybu známu ako BlueKeep. Chybu možno nájsť v protokole vzdialenej plochy od spoločnosti Microsoft, ktorý sa používa na vzdialenú diagnostiku systémových problémov a poskytuje používateľom vzdialený prístup k ich pracovnej ploche z iného zariadenia.

BlueKeep, oficiálne známy ako CVE-2019-0708, predstavuje chybu zabezpečenia na vzdialené spustenie, čo znamená, že sa dá použiť na spustenie kódu na diaľku na cieľovom zariadení. Dôkaz o koncepciách vyvinutých spoločnosťou Microsoft ukázal, že cielené počítače môžu byť napadnuté a ovládnuté útočníkmi za menej ako minútu, čím sa zdôraznila závažnosť chyby.

Po získaní prístupu k zariadeniu môže útočník vzdialene spustiť kód na pracovnej ploche používateľa.

Jednou z výhod BlueKeep je, že ovplyvňuje iba staršie verzie systému Windows vrátane:

• Windows Vista.
• Windows XP.
• Windows Server 2003.
• Windows Server 2008.
• Windows Server 2008 R2.
• Windows 7.

Ak vaše zariadenie beží na akomkoľvek operačnom systéme Windows novšom, ako sú uvedené vyššie, pravdepodobne sa nemusíte starať o BlueKeep.

7. ZeroLogon

ZeroLogon alebo CVE-2020-1472, ako je oficiálne známe, je chyba zabezpečenia softvéru založená na spoločnosti Microsoft, ktorá bola objavená v auguste 2020. Common Vulnerability Scoring System (CVSS) získal túto chybu 10 z 10 na stupnici závažnosti, čo ju robí veľmi nebezpečnou.

To môže zneužiť prostriedok Active Directory, ktorý zvyčajne existuje na podnikových serveroch Windows. Oficiálne je to známy ako Active Directory Netlogon Remote Protocol.

ZeroLogon vystavuje používateľov riziku, pretože má potenciál zmeniť citlivé podrobnosti účtu vrátane hesiel. Chyba využíva metódu autentifikácie, aby bolo možné pristupovať k účtom bez overenia identity.

V rovnakom mesiaci ako jeho objav, Microsoft vydal dve záplaty pre ZeroLogon.

Softvérové ​​chyby sú znepokojivo bežné

Na softvér sa tak veľmi spoliehame, že je prirodzené, že sa objavia chyby a nedostatky. Niektoré z týchto chýb kódovania však môžu ustúpiť vysoko zneužiteľným bezpečnostným chybám, ktoré ohrozujú poskytovateľov aj používateľov.