CISA 和 FBI 敦促开发人员“全力消除” SQL 注入漏洞
我要评论3月25日（本周一） ，全力消除网络安全与基础设施安全局（CISA）和联邦调查局（FBI）发布了 "安全设计 "警报。敦促洞他们将 SQL 注入漏洞（SQLi）归入"不可饶恕的人员入漏 "一类漏洞 。
警报指出 ：尽管在过去二十年中 ，全力消除人们普遍了解并记录了 SQLi 漏洞 ，敦促洞而且也有了有效的人员入漏缓解措施 ，但软件制造商仍在继续开发存在这一缺陷的全力消除产品 ，这使许多客户面临风险 。敦促洞
在 SQL 注入攻击中 ，人员入漏威胁行动者将恶意构造的全力消除 SQL 查询“注入”数据库查询中所使用的字段或参数中 ，利用应用程序中的敦促洞漏洞来执行非计划SQL命令如提取 、香港云服务器操作或删除存储在数据库中的人员入漏敏感数据 。 因与目标数据库交互的全力消除 web 应用或软件中的输入验证和清理不当，这可导致机密数据越权访问 、敦促洞数据泄露甚至是人员入漏目标系统遭完全接管，CISA 和 FBI 建议使用实现写好语句的参数化査询 ，阻止SQL注入漏洞 。这种方法将SQL代码与用户数据加以区分 ，使得恶意输入不可能被解释为 SQL语句。与输入清理技术相比 ，参数化査询时设计安全方法的更好选择 ，服务器租用因为前者可被绕过且难以大规模执行 。 SQL注入漏洞在MITRE 于2021年和2022年发布的“前25个最危险的漏洞"中排行第三 ，仅次于越界写入漏洞和跨站脚本攻击 。越界写入漏洞是一种软件漏洞 ，会导致程序在分配的内存区域边界之外写入。端点崩溃 ，或者执行任意代码等后果 。威胁行为者通常通过写入比分配的内存区域的大小更大的数据或将数据写入内存区域内的错误位置来滥用此漏洞 。云计算
CISA 和 FBI 指出 ，"如果他们发现代码存在漏洞 ，高管们应当确保所在组织机构的软件开发人员立即开始执行缓解措施 ，从所有当前和未来软件产品中消除整个缺陷类型 。在设计阶段直到开发、发布和更新阶段集成该缓解措施 ，可以缓解客户的网络安全负担以及公众所面临的风险 。
几十年来，软件行业一直知道如何大规模消除 SQLi 缺陷。然而 ，威胁分子去年就利用了开发商 Progress 的 MOVEit 文件传输软件中的这样一个漏洞，源码下载造成了毁灭性的后果。 去年5月 ， Clop 勒索团伙利用了 Progress MOVEit Transfer文件传输管理 app 中的一个 SQLi 零日漏洞 ，该漏洞影响全球数千家组织机构 ，随后 CISA 和 FBI 立即发布了联合告警。尽管此案的受害者众多 ，但Coveware认为仅有少部分受害者可能会支付赎金。即便如此，据估计该勒索团伙可能获得的赎金仍在750万到1亿美元之间 。
据 CISA 称 ，SQLi 攻击之所以能够得逞 ，是源码库因为开发人员没有将用户提供的内容视为潜在的恶意内容。它不仅会导致敏感数据被盗 ，还会使坏人篡改 、删除数据库中的信息或使其不可用 。
警报敦促技术制造商遵循三项指导原则 ：
通过执行正式的代码审查并使用“带有参数化查询的预制语句”作为标准做法 ，对客户安全结果负责 通过确保 CVE 记录的正确性和完整性 、记录漏洞的根本原因并努力消除整个类别的漏洞 ，实现“彻底”的免费模板透明度和问责制 将业务目标重新调整为安全设计软件开发 ，包括进行正确的投资和建立激励结构。这最终有助于降低财务和生产力成本以及复杂性CISA 和 FBI 督促技术制造企业管理层对所在组织机构的软件提起正式审计并执行缓解措施 ，在软件交付前消除SQL注入(SQLi) 漏洞。
参考来源 ：https://www.infosecurity-magazine.com/news/cisa-fbi-renewed-effort-eliminate/
相关文章
风险的幽灵使得组织别无选择，只能改善各种网络风险的总体管理。以下是一个基于信息安全论坛的IRAM2方法论的分步过程，网络安全和风险从业者可以利用它来评估和管理信息风险。第1步：范围界定练习范围界定练习2025-12-07
前言大家好呀，我是捡田螺的小男孩。我们日常开发中，如何保证接口数据的安全性呢？个人觉得，接口数据安全的保证过程，主要体现在这几个方面：一个就是数据传输过程中的安全，还有就是数据到达服务端，如何识别数据2025-12-07
Nokoyawa 是今年新出现的 Windows 勒索软件，Fortinet 最早捕获的样本是在 2022 年 2 月编译的，并且与 Karma 勒索软件存在大量的相似之处。Karma 可以通过一系列2025-12-07
使用 K8s/Istio/Cert-manager 和 Vault 保障应用的 Tls 安全
前言Vault 是安全应用维护人员最喜欢的 hashcorp 产品之一 。Vault 是存储机密、证书、管理策略、加密数据等内容的安全工具。Vault 使用受信任的身份集中密码和控制访问权限，以此减少2025-12-07
目前，国内的云计算应用如火如荼，企业在加速云上业务应用的同时，也需要构建更加透明、更加可靠的云应用环境。开展云安全审计正是保障云计算应用安全的有效手段之一，它能够将云上业务运营状态及风险进行充分地检验2025-12-07
信任是家庭生活的基本组成部分。人们相信家中的墙壁足够坚固，烤箱可以使用，厕所没有堵塞，房门可以阻止入侵者。数字信任提供商DigiCert公司物联网安全副总裁Mike Nelson表示，人们通常很少考2025-12-07
最新评论