Quelle est la plateforme de développement ou le langage le plus exposé aux vulnérabilités ?

Une étude de Veracode donne des éléments de réponse

Quelle est la plateforme de développement ou le langage le plus exposé aux vulnérabilités ?
Une étude de Veracode donne des éléments de réponse

Les résultats d’une étude de Veracode révèlent que les langages de script web PHP et ASP sont plus exposés aux vulnérabilités que les plateformes Java et .NET. La vague de vulnérabilité qui a atteint WordPress et Drupal au cours des deux dernières années, ainsi que les découvertes de vulnérabilités dans des applications permettant d’attaquer ces dernières par injection a visiblement terni l’image de leur langage de script sous-jacent. En effet, environ 86 % des applications écrites en PHP sont exposées aux attaques de type cross-site scripting et 56 % d’entre elles contiennent des bogues les rendant vulnérables aux injections SQL, selon l’étude de Veracode. Cette étude s’est intéressée à PHP, Java, Microsoft Classic ASP, .NET, iOS, Android, C, C++, JavaScript, ColdFusion, Ruby et COBOL. Elle a été effectuée en faisant des scans et de l’analyse des codes source de plus de cinquante mille applications sur le cloud.

L’étude montre également que 64 % des applications écrites en ASP Classic et 62 % de celles écrites en ColdFusion présentent des bogues les rendant vulnérables aux risques d’injection SQL. Contrairement à ces langages, l’étude montre que Java et .NET ont de bien meilleures performances avec respectivement 21 et 29 % seulement des applications présentant des vulnérabilités liées aux injections SQL. Chris Wysopal, PDG de Veracodes, estime que les problèmes de PHP favorisent les injections SQL. Chris explique en effet que certaines de ces vulnérabilités continuent d’exister du fait que les programmeurs utilisent des langages difficiles à programmer et donc qu'il est difficile de sécuriser le code de ces derniers. D’après l’étude, PHP et ASP ne disposent pas de fonctions comme Java et .NET permettant de réduire le risque d’injection SQL, de cross-site scripting et de dépassement de capacité. Verracode a également pointé du doigt les plateformes mobiles Android et iOS qui présentent des faiblesses au niveau de la cryptographie.

source : Veracode

Et vous ?

Qu'en pensez-vous ?

Voir aussi

la rubrique Débats sur le développement