應用程式安全已成巨大資安風險

我們每週整理的資安新聞當中，最常見的事件莫過於資安漏洞、資料外洩、勒索軟體攻擊，以六月底而言，Ripple20系列漏洞絕對是一個必須重視的問題，當中包含了19個安全性弱點，而且影響的設備數量高達數億臺，規模相當驚人，而且有3個漏洞是遠端程式碼執行（Remote Code Execution）類型，CVSS 3.0風險評分在9分以上。

但令人訝異的是，這麼多的漏洞，全部來自一家名為Treck公司開發的低階TCP/IP程式庫，而該套軟體元件受到各界廣泛使用，許多名列財星五百大企業的公司生產的設備均受到影響，像是惠普、施耐德電機、英特爾、洛克威爾自動化（Rockwell Automation）、開拓重工（Caterpillar）、百特醫療（Baxter），而受到衝擊的應用領域，也非常多元，遍及醫療、交通、工業控制、能源石化、電信、零售等產業。

另一個我們注意到的資安漏洞事件，是零時差漏洞懸賞計畫（ZDI）在6月中揭露Netgear家用路由器有遠端程式碼執行漏洞，CVSS 3.0風險評分是8.8分，編號為ZDI-CAN-9703。這個問題最初的發現者，是化名為d4rkn3ss的越南郵政電信集團安全研究人員，由他提交給ZDI，以及另一家資安公司GRIMM的研究員Adam Nichols，而Adam Nichols在公司的部落格也同時發布了一篇文章，剖析他們挖掘這個漏洞的歷程。

然而，ZDI和Adam Nichols揭露的受影響產品並不相同。前者提到的設備機型是R6700，後者則是從R7000著手，結果發現79款設備與758個韌體都有這個漏洞，漏洞影響的韌體可追溯至2007年推出的WGT624v4的2.0.6版。若對照Netgear目前宣布的漏洞資訊來看，似乎也難看出端倪，他們在6月19日發出的產品安全公告，當中並非單獨針對ZDI-CAN-9703來說明，而是與其他9個安全弱點合在一起說明，當中列出79款機型，並未逐一敘述是否有ZDI-CAN-9703漏洞，不過，他們特別列出R6400v2、R6700v3、R7000、R8000等四款機型，以及最新韌體與修正弱點，而每一款都有ZDI-CAN-9703。平心而論，這樣夾雜其他漏洞的說明，真的能夠讓用戶理解嗎？

除了這幾項安全性漏洞的消息，我們也看到有越來越多資安廠商，在擴充應用程式安全防護的解決方案布局。舉例來說，Palo Alto開始主推Prisma Cloud Compute Edition，大談雲端原生安全與容器安全；Check Point的CloudGuard IaaS支援Kubernetes防護，以及容器安全，CloudGuard Dome9也提供容器安全性透視與政策遵循，併購Protego之後，也開始投入無伺服器環境（Serverless）的防護。顯然，這兩家公司都在積極發展雲端工作負載保護（CWPP），以及雲端安全態勢管理（CSPM）的解決方案。

而在網站應用程式的防護上，今年有經銷商開始在臺推廣不同於網站應用程式防火牆的產品，也就是執行階段應用程式自我保護（RASP）解決方案，例如，叡揚資訊在推廣Imperva的RASP；無獨有偶，以網路防火牆與端點防護著稱的Check Point，也將跨入這個領域，因為，他們去年併購了ForceNock，於是，在CloudGuard系列當中，也將增添網站應用程式與API防護（WAAP）。

針對物聯網設備的防護，市面上已有一些網路與資安廠商推出這類產品，舉例來說，Check Point近日也宣布將推出對應的解決方案，整合IoT Discovery Engine、IoT Security Manager、IoT Security Gateway等元件，提供相關功能。

不過，若要充分滿足應用程式安全性防護需求，還有許多要努力的空間，因為越是產品生命週期末端的處理，所需耗費的成本越高，為了避免這樣的狀況發生，不能完全仰賴資安廠商來亡羊補牢，產品的原始製造商應負起責任，持續在產品生命週期的每一個階段，確保軟體、硬體、韌體的安全性。