Virginia Tech, Cyentia və RAND-dan tədqiqatçılar qrupu,
Eyni zamanda, istismar prototiplərinin ictimai sahədə dərc edilməsi ilə zəiflikdən istifadə cəhdləri arasında heç bir əlaqə tapılmadı. Tədqiqatçılara məlum olan bütün zəifliklərin istismarı faktlarından ondan əvvəlki problemlə bağlı halların yalnız yarısında istismarın prototipi açıq mənbələrdə dərc edilib. İstismar prototipinin olmaması təcavüzkarların zərurət yarandıqda özbaşına istismar yaratmasına mane olmur.
Digər nəticələrə əsasən, CVSS təsnifatına uyğun olaraq yüksək təhlükə səviyyəsinə malik zəifliklərin istismarına tələbi qeyd etmək olar. Hücumların demək olar ki, yarısı ən azı 9 çəkisi olan zəifliklərdən istifadə edib.
Nəzərdən keçirilən dövr ərzində nəşr edilmiş istismar prototiplərinin ümumi sayı 9726-dır. Tədqiqatda istifadə edilən istismar məlumatları
Exploit DB, Metasploit, D2 Security-nin Elliot Kit, Canvas Exploitation Framework, Contagio, Reversing Labs və Secureworks CTU kolleksiyaları.
Zəifliklər haqqında məlumat bazadan əldə edilib
Tədqiqat hər hansı boşluqlar aşkar edildikdə yeniləmələrin tətbiqi ilə yalnız ən təhlükəli problemlərin aradan qaldırılması arasında optimal balansı müəyyən etmək üçün aparılıb. Birinci halda, yüksək mühafizə səmərəliliyi təmin edilir, lakin əsasən kiçik problemlərin həllinə sərf olunan böyük infrastruktura texniki xidmət resursları tələb olunur. İkinci halda, hücum üçün istifadə edilə bilən zəifliyi əldən vermə riski yüksəkdir. Tədqiqat göstərdi ki, zəifliyi düzəltmək üçün yeniləmənin quraşdırılmasına qərar verərkən, dərc edilmiş istismar prototipinin olmamasına etibar edilməməlidir və istismar şansı birbaşa zəifliyin şiddət səviyyəsindən asılıdır.
Mənbə: opennet.ru