Kwetsbaarheid

Een kwetsbaarheid (Engels: vulnerability) is een zwakke plek in software, hardware of configuratie die een aanvaller kan misbruiken. Het bestaan van een kwetsbaarheid maakt een systeem nog niet direct gevaarlijk — dat wordt het pas als er een exploit beschikbaar is.

Levenscyclus

1. Ontdekking — onderzoeker of aanvaller vindt een zwakke plek
2. Zero-day — kwetsbaarheid is bekend maar er is nog geen patch
3. Bekendmaking — vendor of CVE-database publiceert de kwetsbaarheid
4. Patch — fabrikant brengt een oplossing uit
5. Patching — systemen worden bijgewerkt

Soorten kwetsbaarheden

• Buffer overflow — meer data wegschrijven dan er ruimte voor is
• Injection — kwaadaardige invoer die als code wordt uitgevoerd (SQL, shell)
• Misconfiguratie — onveilige standaardinstellingen of open diensten
• Verouderde software — software zonder beveiligingsupdates

CVSS-score

Kwetsbaarheden krijgen een CVSS-score (0–10) die de ernst aangeeft. Een score van 9 of hoger is kritiek.

Zie ook

• cve — registratiesysteem voor kwetsbaarheden
• exploit — misbruik van een kwetsbaarheid
• patching — kwetsbaarheden verhelpen
• hardening — aanvalsoppervlak verkleinen