Wallarm Q2レポートでAPI脆弱性とエクスプロイトの急増が明らかに

カリフォルニア州サンフランシスコ 2022年7月28日 (Issuewire.com)  - 大手APIセキュリティベンダーであるWallarmの新レポートによると、APIsはわずか1四半期前よりもさらに高いリスクにさらされています。8月8日に開催予定のウェビナーでも解説するQ2 2022 API Vulnerability and Exploit Reportによれば、APIの脆弱性は268％増加、影響範囲は270％拡大、重大度は90％上昇しており、現在のAPIポートフォリオのリスクが一層高まっていてAPIセキュリティが欠かせない状況です。

第2四半期にWallarmは合計184件のAPI脆弱性（1日あたり約2件）を収集・分析しましたが、これは前四半期の50件から大幅に増加しています。全体として、これらの脆弱性は111のベンダー（第1四半期は30）に影響を与え、53％がクリティカルまたは高リスクと評価されました（第1四半期では28％）。さらに、これらの脆弱性の3分の1以上がほぼ即時に悪用されています。

Gartnerは、2022年にはAPI攻撃が企業のWebアプリに対する最も頻繁な攻撃ベクターとなり、データ漏えいを引き起こすと予測しています。年の半ばに入り、この予測は現実のものとなりつつあります。

「API市場が高成長を続けるにつれてリスクも高まっています」とWallarmのCEO兼共同創設者であるIvan Novikovは述べています。「APIを対象とする脆弱性管理に対応するためには、APIポートフォリオ全体を可視化し、発生した脆弱性を評価・対応し、コードと実行時の両面で対策を実装することが必要です。」

第2四半期のAPI脆弱性レポートには、次のような主要な内容が含まれています:

• APIの脅威は前四半期比3.7倍に増加し、1日あたり2件の新たなエクスプロイトが発生する水準に達した。
• クリティカルおよび高リスクのAPI脆弱性が全体の53％を占め、著しく増加している。
• インジェクション（OWASP A03 / API8）はBOLAを上回るAPI最大のリスクとなっており、発見数、悪用可能性、重大度のすべてでリスクが高い。
• 報告されたAPI脆弱性の33％はほぼ即時に悪用され、公表後の中央値約2.5週間でPoCが公開されている。

Wallarmは公開されたAPI脆弱性やエクスプロイトを継続的に収集・分析しています。研究者はソフトウェアの種類、ベンダー、CVSSスコア、CWE、OWASP Top-10（2021）、およびOWASP API Security Top-10（2019）など、多角的な視点でデータを解析し、傾向と洞察を導き出しています。公開されたエクスプロイトのPoCも検証し、理論上から実際の脅威へと変化しているかどうかを確認します。

Q2-2022 API脆弱性レポートの詳細とインフォグラフィックは、本ブログ投稿でご案内しています。

‍