Top 10 OWASP 2023

OWASP là gì?

OWASP là viết tắt của "Open Web Application Security Project" (Dự án Bảo mật Ứng dụng Web Mở).

OWASP là một tổ chức phi lợi nhuận toàn cầu tập trung vào nghiên cứu và phát triển các phương pháp bảo mật ứng dụng web. Mục tiêu chính của OWASP là cung cấp thông tin, công cụ và tài liệu hướng dẫn để giúp các nhà phát triển, kiểm thử và quản trị ứng dụng web nâng cao tính bảo mật trong quá trình phát triển phần mềm. OWASP cung cấp danh sách các lỗ hổng bảo mật phổ biến (OWASP Top 10) và các tài liệu hướng dẫn để giúp cải thiện bảo mật ứng dụng web.

Top 10 OWASP là gì?

OWASP Top 10 là một danh sách các lỗ hổng bảo mật phổ biến và nguy hiểm nhất trong các ứng dụng web. Danh sách này được công bố bởi OWASP (Open Web Application Security Project) và được cập nhật định kỳ để phản ánh các mối đe dọa mới nhất và xu hướng tấn công trong lĩnh vực bảo mật ứng dụng web.

OWASP Top 10 đóng vai trò quan trọng trong việc giúp cải thiện tính bảo mật của các ứng dụng web và tạo ra sự nhận thức và sự chú ý đối với các lỗ hổng bảo mật quan trọng mà các nhà phát triển và quản trị ứng dụng web cần biết và giải quyết.

Broken Object Level Authorization

• Broken Object Level Authorization (BOLA) xảy ra khi kiểm soát truy cập tới các đối tượng (object) trong ứng dụng không được thực hiện chính xác hoặc không đủ bảo mật.
• BOLA cho phép kẻ tấn công thực hiện các hành động không được ủy quyền trên các đối tượng trong ứng dụng. Điều này có thể dẫn đến việc truy cập, sửa đổi hoặc xóa các dữ liệu hoặc tài nguyên mà kẻ tấn công không được phép.
• Ví dụ, nếu một ứng dụng web cho phép người dùng chỉnh sửa thông tin cá nhân của người khác mà không kiểm tra quyền truy cập, kẻ tấn công có thể thực hiện hành động sửa đổi thông tin của người dùng khác một cách trái phép.
• Để ngăn chặn lỗ hổng BOLA, các nhà phát triển phải áp dụng kiểm soát truy cập chính xác và đủ bảo mật cho từng đối tượng trong ứng dụng, xác nhận quyền truy cập của người dùng và kiểm tra tính hợp lệ của các yêu cầu thay đổi dữ liệu.

Broken Authentication

• Broken Authentication (Authentication Bypass) xảy ra khi các biện pháp xác thực và quản lý phiên (session management) không được triển khai đúng cách, cho phép kẻ tấn công vượt qua quá trình xác thực và truy cập trái phép vào các tài khoản người dùng.
• Khi Broken Authentication xảy ra, kẻ tấn công có thể thực hiện các hành động như đăng nhập bằng tên người dùng và mật khẩu của người dùng khác, tạo phiên đăng nhập giả mạo, hoặc lợi dụng các lỗ hổng trong việc quản lý phiên để chiếm quyền kiểm soát tài khoản người dùng.
• Để ngăn chặn lỗ hổng Broken Authentication, các nhà phát triển cần triển khai các biện pháp bảo mật như xác thực hai yếu tố (two-factor authentication), sử dụng các thuật toán băm mật khẩu an toàn, áp dụng chính sách khóa tài khoản sau một số lần đăng nhập không thành công, và giám sát hoạt động phiên đăng nhập để phát hiện các hoạt động bất thường hoặc đăng nhập từ các vị trí địa lý không thường xuyên.
• Đồng thời, người dùng cũng nên tuân thủ các nguyên tắc an toàn như sử dụng mật khẩu mạnh, không chia sẻ thông tin đăng nhập và đảm bảo rằng họ đăng xuất hoặc đóng phiên sau khi sử dụng các ứng dụng web.

Broken Object Property Level Authorization

• Broken Object Property Level Authorization (BOPA) xảy ra khi kiểm soát truy cập tới các thuộc tính (property) của đối tượng trong ứng dụng không được thực hiện đúng cách hoặc không đủ bảo mật.
• BOPA cho phép kẻ tấn công thực hiện các hành động không được ủy quyền trên các thuộc tính của một đối tượng trong ứng dụng. Điều này có thể dẫn đến việc truy cập, sửa đổi hoặc xóa các thuộc tính mà kẻ tấn công không được phép.
• Ví dụ, nếu một ứng dụng web cho phép người dùng chỉnh sửa thông tin cá nhân của người khác mà không kiểm tra quyền truy cập đến từng thuộc tính, kẻ tấn công có thể thực hiện hành động sửa đổi các thuộc tính của người dùng khác một cách trái phép.
• Để ngăn chặn lỗ hổng BOPA, các nhà phát triển phải áp dụng kiểm soát truy cập chính xác và đủ bảo mật cho từng thuộc tính của đối tượng trong ứng dụng, xác nhận quyền truy cập của người dùng và kiểm tra tính hợp lệ của các yêu cầu thay đổi thuộc tính. Đồng thời, việc kiểm tra và giám sát các hoạt động không hợp lệ, đăng nhập không hợp lệ hoặc thay đổi thuộc tính không đúng cũng là một phần quan trọng trong việc ngăn chặn lỗ hổng BOPA.

Unrestricted Resource Consumption

• Unrestricted Resource Consumption (Resource Exhaustion) một kẻ tấn công có thể tiêu thụ các tài nguyên hệ thống (như băng thông, bộ nhớ hoặc CPU) một cách không kiểm soát, gây ra sự gián đoạn hoặc làm quá tải hệ thống.
• Lỗ hổng này thường xuất hiện khi không có giới hạn hoặc giới hạn không đúng được đặt cho các hoạt động liên quan đến tài nguyên. Ví dụ, một ứng dụng web có thể cho phép người dùng tải lên tệp tin mà không kiểm soát dung lượng hoặc số lượng tệp tin, dẫn đến việc tiêu tốn quá nhiều lưu lượng mạng hoặc bộ nhớ.
• Khi bị tấn công Unrestricted Resource Consumption, hệ thống có thể trở nên không phản hồi, chậm chạp hoặc gặp sự cố nghiêm trọng, ảnh hưởng đến trải nghiệm người dùng hoặc thậm chí gây ra sự vỡ vụn của hệ thống.
• Để ngăn chặn lỗ hổng này, các nhà phát triển cần thiết lập giới hạn hợp lý cho các hoạt động liên quan đến tài nguyên, kiểm tra và giám sát sự tiêu thụ tài nguyên của ứng dụng, áp dụng cơ chế giới hạn hoặc chống quá tải, và xử lý các yêu cầu không hợp lý hoặc lạm dụng tài nguyên.

Broken Function Level Authorization

• Broken Function Level Authorization (BFLA) xảy ra khi kiểm soát truy cập đến các chức năng (function) của ứng dụng không được thực hiện đúng cách hoặc không đủ bảo mật.
• Khi xảy ra lỗ hổng BFLA, kẻ tấn công có thể truy cập, thực hiện hoặc thay đổi các chức năng của ứng dụng mà không có quyền truy cập hoặc ủy quyền. Điều này có thể cho phép kẻ tấn công thực hiện các hành động không hợp lệ hoặc lợi dụng các tính năng quản lý hoặc quyền truy cập đặc biệt mà không được phép.
• Ví dụ, một ứng dụng web có thể cho phép người dùng thực hiện thao tác quản lý (như xóa tài khoản người dùng) mà không kiểm tra quyền truy cập. Điều này có thể cho phép kẻ tấn công truy cập vào các chức năng quản lý và thực hiện các hành động gây hại cho hệ thống hoặc dữ liệu.
• Để ngăn chặn lỗ hổng BFLA, các nhà phát triển cần kiểm tra và xác nhận quyền truy cập cho mỗi chức năng của ứng dụng, áp dụng kiểm soát truy cập chính xác và đủ bảo mật, và kiểm tra tính hợp lệ của các yêu cầu thực hiện chức năng. Đồng thời, việc kiểm tra và giám sát các hoạt động không hợp lệ hoặc thực hiện chức năng không đúng cũng là một phần quan trọng trong việc ngăn chặn lỗ hổng BFLA.

Unrestricted Access to Sensitive Business Flows

• Unrestricted Access to Sensitive Business Flows (UASBF) là một lỗ hổng bảo mật trong các ứng dụng doanh nghiệp. Nó xảy ra khi người dùng có quyền truy cập không kiểm soát hoặc không đủ bảo mật đến các quy trình kinh doanh nhạy cảm.
• Khi UASBF xảy ra, kẻ tấn công có thể truy cập và thực hiện các hoạt động không ủy quyền trong các quy trình kinh doanh quan trọng, như quản lý tài khoản, thanh toán, đặt hàng, hay xử lý thông tin nhạy cảm khác. Điều này có thể dẫn đến việc tiết lộ thông tin quan trọng, gian lận, hoặc ảnh hưởng tiêu cực đến hoạt động kinh doanh và uy tín của tổ chức.
• Ví dụ, một ứng dụng doanh nghiệp có thể cho phép người dùng không có quyền truy cập đến các chức năng hoặc khu vực nhạy cảm, nhưng không áp dụng kiểm soát truy cập chặt chẽ. Điều này có thể cho phép kẻ tấn công vượt qua hạn chế và truy cập vào các quy trình kinh doanh nhạy cảm một cách trái phép.
• Để ngăn chặn lỗ hổng UASBF, các nhà phát triển và quản trị viên hệ thống cần thiết lập và kiểm tra các chính sách kiểm soát truy cập chặt chẽ, áp dụng quản lý quyền truy cập phù hợp, và giám sát các hoạt động người dùng để phát hiện và ngăn chặn các truy cập không ủy quyền vào các quy trình kinh doanh nhạy cảm. Đồng thời, việc đảm bảo tính bảo mật và quyền riêng tư của dữ liệu cũng là một yếu tố quan trọng trong việc ngăn chặn lỗ hổng UASBF.

Server Side Request Forgery

• Server Side Request Forgery (SSRF) xảy ra khi kẻ tấn công có thể tạo ra và điều khiển các yêu cầu từ phía máy chủ mà không được kiểm soát hoặc ủy quyền. SSRF cho phép kẻ tấn công tấn công các hệ thống và tài nguyên nội bộ từ phía máy chủ.
• Khi SSRF xảy ra, kẻ tấn công có thể gửi các yêu cầu từ máy chủ đến các địa chỉ IP, cổng và tài nguyên mà họ chọn, bao gồm cả hệ thống nội bộ, máy chủ ngoại tuyến hoặc các dịch vụ khác. Điều này có thể dẫn đến việc tiết lộ thông tin nhạy cảm, tấn công từ chối dịch vụ (DoS), hoặc khai thác các lỗ hổng khác trên hệ thống nội bộ.
• Một ví dụ của SSRF là khi ứng dụng web cho phép người dùng chỉ định URL để tải nội dung từ một nguồn bên ngoài, và kẻ tấn công tận dụng tính năng này để gửi yêu cầu đến máy chủ nội bộ hoặc các địa chỉ không an toàn khác.
• Để ngăn chặn lỗ hổng SSRF, các nhà phát triển cần kiểm tra và xác minh tính hợp lệ của các yêu cầu đến máy chủ, hạn chế phạm vi các yêu cầu từ máy chủ đến các nguồn bên ngoài, áp dụng kiểm soát truy cập chặt chẽ, và giám sát hoạt động máy chủ để phát hiện các hoạt động bất thường. Đồng thời, việc kiểm tra và sửa các lỗ hổng phân cấp trong cấu hình mạng và các ứng dụng liên quan cũng là quan trọng để ngăn chặn lỗ hổng SSRF.

Security Misconfiguration

• Security Misconfiguration (Misconfigured Security) xảy ra khi cấu hình hệ thống, máy chủ, ứng dụng hoặc các thành phần bảo mật không được thiết lập hoặc cấu hình chính xác, dẫn đến các thiết lập không an toàn và khả năng tấn công từ các kẻ tấn công.
• Khi xảy ra lỗ hổng Security Misconfiguration, các thiết lập bảo mật quan trọng như quyền truy cập, phân quyền, môi trường chạy ứng dụng, cấu hình máy chủ, cấu hình cơ sở dữ liệu, hoặc các thiết lập bảo mật khác không được thiết lập đúng hoặc để lại mặc định. Điều này có thể cho phép kẻ tấn công tìm thấy các điểm yếu, tiếp cận thông tin nhạy cảm, thực hiện tấn công từ chối dịch vụ (DoS), thực hiện thao tác không hợp lệ hoặc gây rò rỉ thông tin.
• Ví dụ của Security Misconfiguration có thể là không vô hiệu hóa các trang quản trị mặc định, không cấu hình chính xác quyền truy cập cho các tài nguyên nhạy cảm, không cập nhật hoặc không áp dụng các bản vá bảo mật mới nhất cho các phần mềm hoặc hệ điều hành, hoặc không thiết lập các cấu hình mạng an toàn.
• Để ngăn chặn lỗ hổng Security Misconfiguration, các nhà phát triển và quản trị viên hệ thống cần thiết lập và tuân thủ các hướng dẫn bảo mật, áp dụng các cấu hình an toàn cho tất cả các thành phần, cập nhật và vá các phần mềm và hệ thống thường xuyên, kiểm tra tính hợp lệ của các cấu hình và thiết lập môi trường chạy, và thực hiện quản lý bảo mật chặt chẽ cho hệ thống và ứng dụng.

Improper Inventory Management

• Improper Inventory Management (quản lý hàng tồn kho không đúng) là một lỗ hổng trong quá trình quản lý và kiểm soát hàng tồn kho của một doanh nghiệp. Nó xảy ra khi quy trình quản lý hàng tồn kho không được thực hiện đúng cách hoặc không đủ bảo mật, dẫn đến sự mất mát, lãng phí và tiềm ẩn rủi ro tài chính cho tổ chức.

Unsafe Consumption of APIs

• Unsafe Consumption of APIs (việc sử dụng API không an toàn) là một lỗ hổng bảo mật trong việc sử dụng các giao diện lập trình ứng dụng (APIs). Nó xảy ra khi ứng dụng không kiểm soát hoặc không đảm bảo an toàn khi giao tiếp và sử dụng các API.
• Khi xảy ra lỗ hổng Unsafe Consumption of APIs, các vấn đề bảo mật có thể xảy ra như
  • Thiếu xác thực và ủy quyền
  • Thiếu kiểm tra đầu vào
  • Thiếu kiểm tra lỗi và xử lý ngoại lệ
  • Phạm vi quyền truy cập không kiểm soát

Nguồn: https://owasp.org/API-Security/editions/2023/en/0x11-t10