Zranitelnost (vulnerability)

Příklady z praxe

1. 01

   SQL injection v přihlašovacím formuláři

   Přihlašovací formulář bere e-mail z požadavku a vloží ho přímo do SQL řetězce. Útočník může poslat vstup, který změní význam dotazu, například obejde podmínku nebo přečte cizí záznamy. Parametrizovaný dotaz stejný vstup zpracuje jako hodnotu, ne jako část programu.

   // Zranitelné: vstup uživatele se skládá přímo do SQL dotazu
   const q = `SELECT * FROM users WHERE email = '${req.body.email}'`;
   
   // Bezpečnější: databázový driver oddělí dotaz od hodnot
   const q = 'SELECT * FROM users WHERE email = $1';
   const result = await db.query(q, [req.body.email]);

2. 02

   Admin endpoint bez autorizace

   Vývojář přidá interní export uživatelů a spoléhá na to, že URL nikdo nezná. Pokud se adresa objeví v logu, historii prohlížeče nebo ve frontendu, kdokoli může získat citlivá data. Kontrola přihlášení a role změní skrytou funkci na skutečně chráněnou operaci.

   // Zranitelné: endpoint vrací interní údaje bez ověření uživatele
   app.get('/admin/export-users', async (req, res) => {
     res.json(await exportUsers());
   });
   
   // Oprava: kontrola identity i oprávnění před akcí
   app.get('/admin/export-users', requireLogin, requireRole('admin'), async (req, res) => {
     res.json(await exportUsers());
   });

Časté omyly

MýtusKdyž máme firewall, zranitelnosti v aplikaci nás tolik netrápí.

Ve skutečnostiFirewall omezuje síťový přístup, ale neopravuje chybnou autentizaci, autorizaci ani zpracování dat uvnitř aplikace. Webová zranitelnost může být zneužitelná přes běžný povolený provoz na HTTP nebo HTTPS.

MýtusZranitelnost je totéž co exploit.

Ve skutečnostiZranitelnost je slabina v systému, exploit je konkrétní postup nebo kód, který slabinu využívá. Jedna zranitelnost může mít více exploitů a některé zranitelnosti žádný veřejný exploit nemají.

Časté dotazy

Může mít zranitelnost systém, pro který neexistuje známý exploit?

Zranitelnost může existovat i bez veřejně známého exploitu, protože slabina je vlastnost systému, ne hotový útočný nástroj. Neznámý exploit pouze znamená, že dosud nebyl zveřejněn nebo nalezen mimo úzký okruh lidí. Priorita opravy se proto nemá řídit jen dostupností ukázkového kódu, ale také dosažitelností systému, citlivostí dat a tím, jak snadno lze slabinu pravděpodobně využít.

Jak se zranitelnost liší od hrozby?

Zranitelnost je slabé místo, zatímco hrozba je aktér, událost nebo okolnost, která může slabinu využít. Například chybějící kontrola oprávnění v API je zranitelnost. Automatizovaný bot, nespokojený zaměstnanec nebo cílený útočník jsou hrozby. Riziko vzniká až jejich spojením s konkrétním dopadem, například únikem osobních údajů nebo změnou platebních údajů.

Proč se zranitelnost nepatchuje vždy hned?

Zranitelnost se neřeší vždy okamžitě, protože organizace musí sladit závažnost, dostupnost opravy, provozní riziko a možné výpadky. Kritická slabina na veřejném systému obvykle dostane přednost před nízkorizikovou chybou v izolovaném nástroji. Odklad ale musí být vědomé rozhodnutí s kompenzačními opatřeními, ne tiché ignorování nálezu v backlogu.

Co znamená zranitelnost nultého dne?

Zranitelnost nultého dne je slabina, o které obránci nebo dodavatel neměli praktický čas připravit opravu před jejím zneužitím nebo zveřejněním. Název neznamená, že útok trvá jeden den. Zero-day situace je nebezpečná hlavně proto, že běžná doporučení typu aktualizujte na opravenou verzi ještě nemusí existovat.

Zdroje

1. vulnerability(otevře se v novém okně)NIST
2. Internet Security Glossary, Version 2(otevře se v novém okně)RFC Editor, 2007
3. OWASP Top Ten(otevře se v novém okně)OWASP Foundation
4. OWASP Web Security Testing Guide(otevře se v novém okně)OWASP Foundation
5. Common Vulnerability Scoring System(otevře se v novém okně)NIST

Související pojmy

• Patch managementPatch management je řízený proces vyhledávání, testování, nasazování a ověřování opravných balíčků softwaru napříč servery, aplikacemi, knihovnami i koncovými zařízeními. Zahrnuje evidenci majetku, hodnocení závažnosti zranitelností, stanovení lhůt pro nasazení, testovací prostředí, plán návratu zpět a doklad o tom, že oprava skutečně doběhla všude.
• CVECVE je veřejný katalog konkrétních zranitelností softwaru a hardwaru, ve kterém každá chyba dostane jednoznačné číslo ve tvaru CVE-rok-pořadí. Identifikátor slouží jako společný odkaz pro výrobce, bezpečnostní skenery, databáze i administrátory, takže všichni mluví prokazatelně o téže chybě bez ohledu na to, jak ji kdo pojmenoval.
• SQL injectionSQL injection je zranitelnost, při které útočník vloží do vstupu aplikace text, jenž se stane součástí SQL dotazu a změní jeho význam. Útočník tak čte cizí data, obchází přihlášení nebo maže tabulky. Příčinou je skládání dotazu spojováním řetězců místo použití parametrizovaných dotazů s odděleným kódem a daty.
• Zero-day zranitelnostZero-day zranitelnost je bezpečnostní chyba v softwaru nebo hardwaru, pro kterou v okamžiku zneužití neexistuje veřejně dostupná oprava ani spolehlivá signatura. Útočník tak může využít náskok před výrobcem, správci i bezpečnostními nástroji; riziko trvá hlavně do vydání patche, obchvatného opatření nebo vypnutí zasažené funkce.
• Penetrační testPenetrační test je řízené bezpečnostní prověření systému, aplikace nebo sítě, při němž tester napodobuje postup útočníka v předem schváleném rozsahu. Cílem je najít zneužitelné slabiny, prakticky doložit jejich dopad a dodat doporučení, podle nichž tým riziko opraví, omezí nebo vědomě přijme.
• Bezpečnostní politikaBezpečnostní politika je závazný dokument organizace, který stanovuje pravidla, odpovědnosti a přijatelnou míru rizika při práci s informacemi a IT systémy. Určuje, kdo má k čemu přístup, jak se nakládá s hesly, daty a incidenty, a co se stane při porušení pravidel. Schvaluje ji vedení a doplňují ji navazující směrnice a technická opatření.
• 3D model3D model je digitální reprezentace objektu nebo prostoru ve třech rozměrech, složená z geometrie, materiálů a často i textur, animací či fyzikálních vlastností. Používá se v hrách, filmech, průmyslovém návrhu, architektuře, e-commerce i simulacích, kde software z modelu počítá zobrazení nebo další data.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.