Aplicativos web: 9 em 10 têm falhas sérias

O número de vulnerabilidades detectadas em software tem crescido a ponto que nove em cada dez aplicativos web possuem falhas que podem expor informações críticas. O relatório “Web Application Security Trends Report Q1-Q2, 2009, produzido pela empresa Cenzic e divulgado na segunda-feira (09/11), revela que mais de 3,1 mil vulnerabilidades foram identificadas no primeiro semestre deste ano, índice 10% superior ao verificado no segundo semestre de 2008.

Do total de vulnerabilidades, 78% são de aplicativos web. Embora o percentual seja menor que o apontado no segundo semestre de 2008, supera o índico dos primeiros seis meses do ano passado.

Outro documento, o “Top Cyber Security Risks”, do SANS Institute, lançado em setembro, revelou que mais de 60% dos ataques na internet focaram aplicativos web.

Além disso, 90% das vulnerabilidades encontradas foram em aplicações comerciais e 8% em navegadores que rodam web apps, apontou o relatório da Cenzic.

Entre as fabricantes de software afetadas pelas 10 principais falhas estão PHP, SAP, Sun, Citrix, Apache, F5 Networks, Symantec e IBM.

De acordo com a Cenzic, as vulnerabilidades SQL Injection e Cross Site Scrupting tiveram maior participação nos ataques pela web, com 25% e 17%, respectivamente.

O documento da Cenzic mostra ainda que 87% das aplicações analisadas “tinham sérias falhas que poderiam expor informações críticas ou confidenciais dos usuários durante transações.”

No segundo semestre de 2008 esse percentual era de 78%.

Quando se fala em vulnerabilidade de navegadores, Firefox e Safari lideraram. “Mozilla Firefox teve o maior percentual com 44%”, aponta o documento. “O que surpreendeu foi o navegador Safari ter muita vulnerabilidade, chegando a 35%. O Internet Explorer ficou em terceiro com 15% e o Opera, em quarto, com 6% do total de vulnerabilidade.”

Nos últimos anos, o Firefox apresentou número maior de problemas que o Internet Explorer, mas os bugs do navegador da Mozilla são resolvidos com mais agilidade do que aqueles que afetam o browser da Microsoft.

Membros do Firefox argumentam que a questão de segurança do Firefox e Internet Explorer não são facilmente comparáveis porque o processo de segurança da Mozilla é aberto e o da Microsoft fechado. A Microsoft não se pronunciou sobre o assunto.