O número global de vulnerabilidades detectadas em aplicações de software caiu em 2009, mas por outro lado a quantidade de erros em leitores de documentos e aplicações de multimédia cresceu cerca de 50 por cento.
Esta é uma das conclusões do relatório anual de riscos e tendências da IBM.
A investigação foi feita pelo grupo X-Force, da IBM, que recolheu registos de vulnerabilidades e outros dados de ataques realizados através da Web. Em 2009, a equipa do X-Force registou 6,6 mil novas vulnerabilidades, 11 por cento menos do que o registado em 2008.
No que se refere às falhas de segurança, a IBM conta que o número de vulnerabilidades reportadas em leitores de documentos, editores e aplicações de multimédia subiu 50 por cento. A empresa classifica estas como sendo vulnerabilidades do lado do cliente, categoria que também inclui vulnerabilidades que afectam navegadores e sistemas operativos.
Das cinco falhas mais exploradas na Web, três envolvem arquivos PDF. Os ciber-criminosos têm tido muito sucesso na procura de vulnerabilidades no software da Adobe e conduzido os seus ataques através de campanhas de spam e sites maliciosos.
“Existe definitivamente um grupo de delinquentes que se dedica a dirigir os seus ataques a este tipo de ficheiros”, afirma o responsável de investigações da X-Force, Tom Cross.
As outras duas falhas mais exploradas envolvem o Flash e um controlo ActiveX que permite aos utilizadores verem ficheiros do Microsoft Office no Internet Explorer, diz a IBM.
Mas são os browsers os que possuem a maior parte das vulnerabilidades detectadas, sendo que o Firefox registou o dobro das falhas críticas do Internet Explorer em 2009. Nenhum destes erros, no entanto, ficou por corrigir até ao final do ano.
Mais de metade das vulnerabilidades críticas diz respeito a quatro fabricantes em específico: Microsoft, Adobe, Mozilla e Apple. Enquanto, em média, a maioria dos fornecedores corrigiu 66 por cento dessas falhas, a Apple mostrou ser a pior neste ponto, corrigindo apenas 38 por cento das suas vulnerabilidades.
A IBM também observou as taxas gerais de correcção. A X-Force afirma que a Research in Motion, a comunidade GNU, a Cisco Systems, a Adobe e a HP tiveram um desempenho excelente. A Cisco deixou apenas um por cento das falhas críticas sem correcção até ao final do ano, enquanto as outras empresas corrigiram todos os erros detectados.
As empresas com a maior percentagem de vulnerabilidades sem correcção foram a comunidade Linux, com 53 por cento, a Oracle com 38 por cento, a Novell com 31 por cento e a própria IBM com 27 por cento.
Outras vulnerabilidades observadas pela X-Force incluem as aplicações Web, algo que é particularmente perigoso para os sites e que pode resultar na perda de dados e outros danos. E os números aqui não são bons: cerca de 67 por cento dos problemas com aplicações Web não foram corrigidos até o fim de 2009. O cross-site scripting superou a SQL injection como principal vulnerabilidade na Web, disse a IBM.
O cross-site scripting é um ataque no qual um script ganha permissão para ser executado onde não deve, recurso que pode ser usado pelos hackers para roubarem informação. A SQL injection, por seu turno, ocorre quando determinados comandos são validados e executados numa base de dados, que pode revelar as suas informações e ser usada para fins maliciosos.
O número de SQL injections observado pela IBM em 2008 foi de cerca de 5 mil por dia. Em 2009, o grupo X-Force observou cerca de um milhão de ataques por dia, com os atacantes a usar sobretudo ferramentas especialmente concebidas para descobrir sites vulneráveis, segundo Tom Cross.
Muitas vezes, os hackers tentam inserir HTML numa página através de ataques por SQL injection, o que faz com que os utilizadores acabem por ser redireccionados para outro site, normalmente malicioso.
Os criminosos estão “a tentar fazer com que os seus links maliciosos sejam colocados em sites legítimos de grande audiência e que os seus visitantes sejam redireccionados para outros sites ilegítimos”, diz Tom Cross.
A IBM reportou, ainda, um aumento significativo no número de links maliciosos em 2009.
Tags: IBM, Segurança, vulnerabilidades
