OWASP Top 10

Первое место и в 2021-м. Сюда же с этой редакции отнесён SSRF.

• горизонтальный доступ: подстановка чужого идентификатора в URL, теле запроса, заголовке
• вертикальный доступ: обычный пользователь достаёт админскую функцию
• проверка прав на сервере, а не только скрытие кнопки в интерфейсе
• прямые ссылки на объекты хранилища и файлы
• CORS, разрешающий чтение с произвольного источника
• серверные запросы по адресу, который пришёл от пользователя (SSRF)

Поднялась с пятого места на второе — самый заметный сдвиг редакции.

• дефолтные учётные записи и пароли, оставшиеся от установки
• включённые отладочные режимы, трассировки и служебные эндпоинты в проде
• избыточные права контейнеров и сервисных аккаунтов
• заголовки безопасности: CSP, HSTS, X-Content-Type-Options, Referrer-Policy
• открытые наружу панели администрирования, метрики, очереди, базы
• расхождение конфигурации между окружениями

Новая категория. Расширение прежней «Уязвимые и устаревшие компоненты» на всю цепочку: происхождение, сборку, доставку.

• состав зависимостей и их происхождение: есть ли SBOM и обновляется ли он
• известные уязвимости в прямых и транзитивных зависимостях
• фиксация версий, lock-файлы, защита от подмены пакета и тайпсквоттинга
• целостность сборки: кто и чем собирает артефакт, подписан ли он
• доступ к реестру пакетов и к CI: кто может опубликовать артефакт
• сторонние скрипты, подключаемые на страницу в момент выполнения

Была второй в 2021-м.

• передача чувствительных данных без TLS или с деградацией на HTTP
• устаревшие алгоритмы и режимы, самодельная криптография
• хранение паролей: алгоритм, соль, параметры стойкости
• управление ключами: где лежат, кто читает, как ротируются
• секреты в репозитории, в образе, в переменных сборки
• данные, которые вообще не следовало хранить

Классика, которая никуда не делась: SQL, NoSQL, команды ОС, LDAP, шаблонизаторы, XSS.

• SQL и NoSQL: параметризация запросов вместо склейки строк
• вызовы команд операционной системы с пользовательскими данными
• серверные шаблонизаторы (SSTI) и движки выражений
• XSS: отражённый, хранимый, DOM-based
• десериализация недоверенных данных
• внедрение в заголовки, журналы, файлы конфигурации

Категория про то, что нельзя починить патчем: дефект заложен в замысле.

• есть ли модель угроз и пересматривается ли она
• бизнес-логика: можно ли пройти сценарий в обход шага
• ограничения на дорогие операции: лимиты, квоты, антиавтоматизация
• разделение сред и данных: тестовые данные в проде и наоборот
• сценарии восстановления доступа как отдельная поверхность атаки
• предположения о доверии между сервисами, записанные явно

Переименована: в 2021-м называлась «Identification and Authentication Failures».

• перебор паролей и учётных записей: есть ли ограничение и как оно устроено
• политика паролей относительно современных рекомендаций, а не привычек 2010 года
• второй фактор: где включён, где можно обойти
• жизненный цикл сессии: срок, инвалидация, поведение при смене пароля
• восстановление доступа: самый частый обход всей аутентификации
• машинные учётные записи и долгоживущие токены

• обновления и плагины, устанавливаемые без проверки подписи
• конвейер сборки: может ли посторонний код доехать до прода
• сериализованные объекты, которым доверяют без проверки
• критичные данные, целостность которых никто не подтверждает

Небольшое переименование: в 2021-м было «...Monitoring Failures».

• события безопасности: что вообще пишется — вход, отказ доступа, смена прав
• достаточно ли записи, чтобы восстановить ход инцидента
• персональные данные и секреты, утекающие в журналы
• защита журналов от изменения и удаления
• оповещение: кто и через сколько узнаёт о происходящем

Новая категория. Про поведение системы, когда что-то пошло не так: fail-open, проглоченные исключения, логические ошибки в ветках отказа.

• отказ в сторону разрешения: проверка упала — доступ выдан
• проглоченные исключения и пустые блоки обработки ошибок
• сообщения об ошибке, раскрывающие внутреннее устройство
• поведение при недоступности внешнего сервиса
• частично выполненные операции без отката