Wallarm, la società di sicurezza API e app end-to-end, ha annunciato il rilascio del rapporto Wallarm API ThreatStats del terzo trimestre del 2023. Il rapporto trimestrale descrive in dettaglio l’aumento delle minacce incentrate sulle API e scopre vulnerabilità critiche, come iniezioni e fughe di dati API, che hanno recentemente avuto un impatto su aziende leader, tra cui Netflix, VMware e SAP.
Il nuovo rapporto introduce una raccolta rinnovata delle “10 principali minacce alla sicurezza delle API”, un elenco basato su dati in tempo reale che copre le 239 vulnerabilità scoperte durante il trimestre. Iniezioni, che comportano l’inserimento di dati o codice dannosi in un file API che porta ad accessi non autorizzati e violazioni dei dati, al primo posto nella lista, attaccando vettori come SQL e XML. Nella lista figurano anche attacchi cross-site, controllo degli accessi interrotto e scarsa gestione di sessioni e password.
Il nuovo rapporto Wallarm espone i rischi per la sicurezza delle API per aziende tra cui Netflix e WordPress
Delle 239 vulnerabilità, il 33% (79 su 239) era associato all’autenticazione, all’autorizzazione e al controllo degli accessi (AAA), pilastri fondamentali della sicurezza delle API. L’autenticazione aperta (OAuth), il single-sign-on (SSO) e il JSON Web Token (JWT), misure di salvaguardia per la sicurezza delle API, sono stati compromessi in organizzazioni tecnologiche affidabili come Sentry e WordPress. Sentry ha riscontrato un’errata convalida delle credenziali sulle richieste di token OAuth, esponendo potenzialmente i progetti degli sviluppatori ad accessi non autorizzati, mentre l’SSO di WordPress era soggetto a un’autenticazione interrotta dal plug-in, lasciando i dati di milioni di utenti vulnerabili al furto.
Il problema crescente di Perdite di dati APIman mano che gli stack tecnologici aziendali diventano più complicati, è stato anche un punto focale del rapporto di questo trimestre. Sebbene relativamente nuove, le fughe di dati API si sono classificate al quarto posto nell’elenco delle minacce alla sicurezza a causa del loro potenziale di divulgazione incontrollata di dati sensibili, spesso attraverso metodi negligenti. La prova di questi rischi si trova nelle recenti gravi violazioni dei dati subite da Netflix, VMware e SAP, con Netflix che ha esposto le chiavi segrete JWT nei messaggi di errore e VMware che ha rivelato vulnerabilità di informazioni sensibili.
“Abbiamo visto negli ultimi mesi che anche i principali attori come Netflix e VMware non sono esenti da significative esposizioni di dati. Che siano causate da malintenzionati o da disattenzione interna, questo rapporto è un campanello d’allarme per i leader aziendali e i professionisti della sicurezza informatica affinché includano una protezione contro minacce alle API e altre perdite nei programmi di sicurezza dei prodotti. I framework di sicurezza consolidati, come OWASP API Security Top-10, rappresentano un modo per iniziare, ma presentano limitazioni nell’affrontare le complesse API di oggi esigenze di sicurezza. Questo elenco di minacce basato su dati in tempo reale integra ed estende il quadro OWASP identificando minacce e vulnerabilità non indirizzate, migliorando la posizione di sicurezza complessiva”, ha affermato Ivan Novikov, CEO di Wallarm.
La lotta alle minacce alla sicurezza delle API evidenziate inizia con una strategia di sicurezza proattiva. Il rapporto fornisce approfondimenti e raccomandazioni chiave da parte di esperti per navigare in questo complesso panorama informatico, inclusa la definizione delle priorità ai principi AAA con aggiornamenti regolari per mitigare i potenziali rischi e l’integrazione di misure di protezione dalle perdite API come un sistema di rilevamento automatico per impedire agli autori delle minacce di utilizzare chiavi API trapelate.