Безопасность поддоменов популярных сайтов не соответствует ИБ-стандартам

30 июня 2021 года

Группа исследователей в области информационной безопасности из Венского технологического университета и Венецианского университета Ка-Фоскари предупредила, что старые или необслуживаемые поддомены часто содержат упущенные из виду уязвимости, подвергающие организации риску кибератак.

Поддомены остаются уязвимыми для атаки на основе cookie-файлов, в ходе которой злоумышленник настраивает собственный сайт для замены неиспользуемого или просроченного поддомена, размещенного на сервере. Поскольку web-сайты обычно считают свои поддомены «безопасными», cookie-файлы, назначенные основному сайту, могут быть перезаписаны и доступны из поддомена, позволяя злоумышленнику выдавать себя за другого пользователя и осуществлять незаконные действия.

Команда специалистов провела анализ 50 тыс. наиболее популярных web-сайтов в мире, согласно списку Tranco, и обнаружила 1520 уязвимых поддоменов на 887 сайтах. Среди известных организаций с уязвимыми поддоменами были Cisco, CNN, Гарвард и Национальные институты здравоохранения США. Эксперты уведомили администраторов о проблемах в кибербезопасности их ресурсов, однако спустя шесть месяцев исправления получили только 31% поддоменов.

Специалисты рекомендуют компаниям просмотреть все DNS-записи типа CNAME, указывающие на внешние домены, и все записи A/AAAA, указывающие на IP-адреса, напрямую не контролируемые организацией. Если какие-либо из указанных ресурсов больше не используются, необходимо удалить соответствующие DNS-записи в целях безопасности.

Источники

править
 
Эта статья загружена автоматически ботом NewsBots и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.