Vastagkliens alkalmazások biztonsági vizsgálata

• 3CX DesktopApp – Supply Chain támadás (2023)

A VoIP / asztali kliens alkalmazás “3CXDesktopApp” egyik verziója kompromittálódott: a támadók egy legitim aláírással rendelkező, de rosszindulatú frissítést juttattak ki. A kliensek telepítették, majd az alkalmazás bizonyos verzióiban malwaremodul került be, amely kommunikált rosszindulatú működéssel. BleepingComputer
‣ Tanulság: a supply chain, a harmadik féltől származó könyvtárak / függőségek megfelelő ellenőrzése kritikus, mert ha egy komponens bekerül a kliens oldali kódba, onnantól a teljes felhasználói gépen lehet kárt okozni. Sípoló Számítógép

• Payatu – Medtech cég thick client kockázatelemzése

Egy medtech vállalatnál a Payatu security team végzett realtime biztonsági felmérést egy vastag kliens alkalmazáson, amely orvosi / sebészeti / idegsebészeti eszközökkel dolgozik. A cél az volt feltárni a kliens oldali hibákat, konfigurációs gyengeségeket, adatvédelmi hiányosságokat, biztonsági/privacy dokumentáció elégtelenségét. Nem feltétlenül volt “nyilvános hack/incidens”, de a felmérés rávilágított, hogy milyen súlyos következménye lehet, ha kliens oldalon nincs jól kezelve a hitelesítés, a titkosítás vagy a jogosultságok. Payatu

• RDP kliens hibák / “clipboard vulnerability” attack

Microsoft által publikált eset, amikor egy RDP kliens (pl. mstsc.exe) valamilyen sebezhetőséget tartalmazott a megosztott vágólap (clipboard) kezelésében. Bár konkrét káros exploitok nem voltak széles körben dokumentálva, a hiba komoly, mert ha egy felhasználó egy kompromittált szerverhez csatlakozik, onnan vissza tudják használni a vágólapot támadásra ‒ például adatlopásra vagy kódvégrehajtásra. microsoft.com

Gyakori típusú sérülékenységek thick clientalkalmazásoknál

Ezek azok a hibák, amelyek gyakran előfordulnak, és amelyek incidensekhez vezethetnek:

• Üzleti logika kliensoldalon (tampering / reverse engineering) ‒ például kliensben lévő limitellenőrzések megkerülése. cybersapiens.com.au+ 1
• Rossz_authentikációs / jogosultságellenőrzési hiányosságok ‒ amikor a kliens feltételez valamit, ami nem validálódik a szerveren. varutra.com+ 1
• Bináris komponensek / függőségek (library, DLL, plugin) beszennyeződése vagy rosszindulatú módosítása (supply chain problémák). Sípoló Számítógép
• Rosszul konfigurált jogosultságok (file, registry, helyi erőforrások) ami privilege escalationt tesz lehetővé. reddit.com+ 1
• Titkosítás, kommunikáció védelmének hiánya vagy gyengesége (pl. nem TLS, vagy nem ellenőrzött certifikát)