ช่องโหว่คืออะไร? คําจํากัดความ + ตัวอย่าง

ช่องโหว่เป็นจุดอ่อนที่อาชญากรไซเบอร์สามารถใช้ประโยชน์เพื่อเข้าถึงระบบคอมพิวเตอร์โดยไม่ได้รับอนุญาต หลังจากใช้ประโยชน์จากช่องโหว่ การโจมตีทางไซเบอร์สามารถเรียกใช้โค้ดที่เป็นอันตราย ติดตั้งมัลแวร์ และแม้แต่ขโมยข้อมูลที่ละเอียดอ่อน

ช่องโหว่สามารถใช้ประโยชน์ได้หลายวิธี รวมถึงการแทรก SQL, บัฟเฟอร์ล้น, การเขียนสคริปต์ข้ามไซต์ (XSS) และชุดหาประโยชน์แบบโอเพ่นซอร์สที่มองหาช่องโหว่ที่ทราบและจุดอ่อนด้านความปลอดภัยในเว็บแอปพลิเคชัน

ช่องโหว่หลายอย่างส่งผลกระทบต่อซอฟต์แวร์ยอดนิยมทําให้ลูกค้าจํานวนมากที่ใช้ซอฟต์แวร์มีความเสี่ยงสูงต่อการละเมิดข้อมูลหรือการโจมตีห่วงโซ่อุปทาน การหาประโยชน์จากซีโร่เดย์ดังกล่าวได้รับการจดทะเบียนโดย MITRE เป็น Common Vulnerability Exposure (CVE)

ตัวอย่างช่องโหว่

มีช่องโหว่หลายประเภท ซึ่งพิจารณาจากโครงสร้างพื้นฐานที่พบ ช่องโหว่สามารถจําแนกได้เป็นหกประเภทใหญ่ ๆ :

1. ฮาร์ดแวร์

ความอ่อนไหวต่อความชื้น ฝุ่น สิ่งสกปรก ภัยธรรมชาติ การเข้ารหัสที่ไม่ดี หรือช่องโหว่ของเฟิร์มแวร์

2. ซอฟต์แวร์

การทดสอบไม่เพียงพอ, ขาดเส้นทางการตรวจสอบ, ข้อบกพร่องในการออกแบบ, การละเมิดความปลอดภัยของหน่วยความจํา (บัฟเฟอร์ล้น, การอ่านมากเกินไป, ตัวชี้ที่ห้อยลงมา), ข้อผิดพลาดในการตรวจสอบอินพุต (การแทรกโค้ด, การเขียนสคริปต์ข้ามไซต์ (XSS), การข้ามไดเรกทอรี, การแทรกอีเมล, การโจมตีสตริงรูปแบบ, การแทรกส่วนหัว HTTP, การแยกการตอบสนอง HTTP, การแทรก SQL), ข้อบกพร่องของความสับสนของสิทธิ์ (การคลิกแจ็ค, การปลอมแปลงคําขอข้ามไซต์, การโจมตีตีกลับ FTP), เงื่อนไขการแข่งขัน (การแข่งขันแบบซิมลิงค์, เวลาในการตรวจสอบตามเวลาใช้งาน ข้อบกพร่อง) การโจมตีช่องทางด้านข้าง การโจมตีแบบจับเวลา และความล้มเหลวของอินเทอร์เฟซผู้ใช้ (ตําหนิเหยื่อ สภาพการแข่งขัน ความเหนื่อยล้าในการเตือน)

เรียนรู้เกี่ยวกับช่องโหว่ MOVEit Transfer >

3. เครือข่าย

สายสื่อสารที่ไม่มีการป้องกัน, การโจมตีแบบคนกลาง, สถาปัตยกรรมเครือข่ายที่ไม่ปลอดภัย, ขาดการรับรองความถูกต้อง, การรับรองความถูกต้องเริ่มต้นหรือความปลอดภัยเครือข่ายที่ไม่ดีอื่น ๆ

4. บุคลากร

นโยบายการสรรหาบุคลากรที่ไม่ดี, ขาดความตระหนักและการฝึกอบรมด้านความปลอดภัย, การปฏิบัติตามการฝึกอบรมด้านความปลอดภัยไม่ดี, การจัดการรหัสผ่านที่ไม่ดี หรือการดาวน์โหลดมัลแวร์ผ่านไฟล์แนบอีเมล

5. ไซต์ทางกายภาพ

พื้นที่ที่เกิดภัยธรรมชาติ แหล่งพลังงานที่ไม่น่าเชื่อถือ หรือไม่มีการเข้าถึงคีย์การ์ด

6. องค์กร

ฉันควบคุมภายในอย่างไม่เหมาะสมขาดการตรวจสอบแผนความต่อเนื่องการรักษาความปลอดภัยหรือแผนการตอบสนองต่อเหตุการณ์

เรียนรู้เกี่ยวกับการกําหนดค่าผิดพลาดอันดับต้น ๆ ที่ทําให้เกิดการละเมิดข้อมูล >

ช่องโหว่ที่ทราบควรเปิดเผยต่อสาธารณะเมื่อใด

ไม่ว่าจะเปิดเผยช่องโหว่ที่ทราบต่อสาธารณะหรือไม่ยังคงเป็นประเด็นที่ถกเถียงกัน มีสองตัวเลือก:

1. การเปิดเผยข้อมูลอย่างครบถ้วนทันที

ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์บางคนโต้แย้งให้มีการเปิดเผยทันที รวมถึงข้อมูลเฉพาะเกี่ยวกับวิธีการใช้ประโยชน์จากช่องโหว่ ผู้สนับสนุนการเปิดเผยข้อมูลทันทีเชื่อว่ามันนําไปสู่ซอฟต์แวร์ที่ปลอดภัยและการแพตช์ที่เร็วขึ้นเพื่อปรับปรุงความปลอดภัยของซอฟต์แวร์ความปลอดภัยของแอปพลิเคชันความปลอดภัยของคอมพิวเตอร์ความปลอดภัยของระบบปฏิบัติการและความปลอดภัยของข้อมูล

2. จํากัดการไม่เปิดเผยข้อมูล

คนอื่น ๆ ต่อต้านการเปิดเผยช่องโหว่เพราะพวกเขาเชื่อว่าช่องโหว่จะถูกแฮกเกอร์ใช้ประโยชน์ ผู้สนับสนุนการเปิดเผยข้อมูลที่จํากัดเชื่อว่าการจํากัดข้อมูลในกลุ่มที่เลือกจะช่วยลดความเสี่ยงของการแสวงหาประโยชน์

เช่นเดียวกับข้อโต้แย้งส่วนใหญ่มีข้อโต้แย้งที่ถูกต้องจากทั้งสองฝ่าย

ไม่ว่าคุณจะอยู่ฝ่ายไหน โปรดทราบว่าตอนนี้เป็นเรื่องปกติที่ผู้โจมตีที่เป็นมิตรและอาชญากรไซเบอร์จะค้นหาช่องโหว่และทดสอบช่องโหว่ที่รู้จักเป็นประจํา

บางบริษัทมีทีมรักษาความปลอดภัยภายในองค์กรซึ่งมีหน้าที่ทดสอบความปลอดภัยด้านไอทีและมาตรการรักษาความปลอดภัยอื่นๆ ขององค์กร ซึ่งเป็นส่วนหนึ่งของการจัดการความเสี่ยงด้านข้อมูลโดยรวมและกระบวนการประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์

บริษัทที่ดีที่สุดในระดับเดียวกันเสนอค่าหัวบั๊กเพื่อกระตุ้นให้ทุกคนค้นหาและรายงานช่องโหว่ให้พวกเขาทราบแทนที่จะใช้ประโยชน์จากช่องโหว่เหล่านั้น โปรแกรมการล่ารางวัลข้อบกพร่องนั้นยอดเยี่ยมและสามารถช่วยลดความเสี่ยงที่องค์กรของคุณจะเข้าร่วมรายการการละเมิดข้อมูลที่ใหญ่ที่สุดของเรา

โดยปกติแล้วจํานวนเงินที่จ่ายของโปรแกรม Bug Bounty จะสอดคล้องกับขนาดขององค์กรความยากลําบากในการใช้ประโยชน์จากช่องโหว่และผลกระทบของช่องโหว่ ตัวอย่างเช่น การค้นหาการรั่วไหลของข้อมูลที่สามารถระบุตัวตนได้ (PII) ของบริษัทที่ติดอันดับ Fortune 500 ที่มีโปรแกรม Bug Bounty จะมีมูลค่าสูงกว่าการละเมิดข้อมูลของร้านค้าหัวมุมในพื้นที่ของคุณ

อะไรคือความแตกต่างระหว่างช่องโหว่และความเสี่ยง?

ความเสี่ยงด้านความปลอดภัยทางไซเบอร์มักจัดเป็นช่องโหว่ อย่างไรก็ตาม ช่องโหว่และความเสี่ยงไม่ใช่สิ่งเดียวกัน ซึ่งอาจนําไปสู่ความสับสนได้

คิดว่าความเสี่ยงเป็นความน่าจะเป็นและผลกระทบของช่องโหว่ที่ถูกใช้ประโยชน์

หากผลกระทบและความน่าจะเป็นของช่องโหว่ที่ถูกใช้ประโยชน์ต่ํา แสดงว่ามีความเสี่ยงต่ํา ในทางกลับกันหากผลกระทบและความน่าจะเป็นของการถูกใช้ประโยชน์ในช่องโหว่สูงก็มีความเสี่ยงสูง

โดยทั่วไป ผลกระทบของการโจมตีทางไซเบอร์อาจเชื่อมโยงกับ CIA triad หรือการรักษาความลับ ความสมบูรณ์ หรือความพร้อมใช้งานของทรัพยากร ตามแนวการให้เหตุผลนี้มีบางกรณีที่ช่องโหว่ทั่วไปไม่มีความเสี่ยง ตัวอย่างเช่น เมื่อระบบสารสนเทศที่มีช่องโหว่ไม่มีคุณค่าต่อองค์กรของคุณ

ช่องโหว่จะกลายเป็นช่องโหว่ที่สามารถใช้ประโยชน์ได้เมื่อใด

ช่องโหว่ที่มีเวกเตอร์การโจมตีที่ใช้งานได้อย่างน้อยหนึ่งช่องจะถูกจัดประเภทเป็นช่องโหว่ที่สามารถใช้ประโยชน์ได้ หน้าต่างของช่องโหว่คือเวลาตั้งแต่เมื่อช่องโหว่ถูกนํามาใช้จนถึงเมื่อมีการแก้ไข

หากคุณมีแนวทางปฏิบัติด้านความปลอดภัยที่แข็งแกร่งช่องโหว่จํานวนมากจะไม่สามารถใช้ประโยชน์ได้สําหรับองค์กรของคุณ

ตัวอย่างเช่น หากคุณกําหนดค่าความปลอดภัย S3 อย่างเหมาะสม ความน่าจะเป็นของการรั่วไหลของข้อมูลจะลดลง ตรวจสอบสิทธิ์ S3 ของคุณ มิฉะนั้นบุคคลอื่นจะทํา

ในทํานองเดียวกัน คุณสามารถลดความเสี่ยงของบุคคลที่สามและความเสี่ยงของบุคคลที่สามได้ด้วยกลยุทธ์การจัดการความเสี่ยงของบุคคลที่สามและการจัดการความเสี่ยงของผู้ขาย

Zero-Day Exploit คืออะไร?

ช่องโหว่ซีโร่เดย์ (หรือซีโร่เดย์) ใช้ประโยชน์จากช่องโหว่ซีโร่เดย์ ช่องโหว่ซีโร่เดย์ (หรือ 0 วัน) คือช่องโหว่ที่ไม่รู้จักหรือไม่ได้รับการแก้ไขโดยผู้ที่ต้องการแก้ไขช่องโหว่

จนกว่าช่องโหว่จะได้รับการแก้ไข ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ดังกล่าวเพื่อส่งผลเสียต่อโปรแกรมคอมพิวเตอร์ คลังข้อมูล คอมพิวเตอร์ หรือเครือข่าย

"Day Zero" คือวันที่ผู้มีส่วนได้ส่วนเสียทราบถึงช่องโหว่ ซึ่งนําไปสู่แพตช์หรือวิธีแก้ปัญหาเพื่อหลีกเลี่ยงการแสวงหาประโยชน์

สิ่งสําคัญที่ต้องเข้าใจคือยิ่งมีวันน้อยลงนับตั้งแต่ Day Zero โอกาสที่สูงขึ้นที่จะไม่มีการพัฒนาแพตช์หรือการบรรเทาผลกระทบ และความเสี่ยงของการโจมตีที่ประสบความสําเร็จก็จะยิ่งสูงขึ้นเท่านั้น

อะไรทําให้เกิดช่องโหว่

มีสาเหตุหลายประการของช่องโหว่ ได้แก่:

• ความซับซ้อน - ระบบที่ซับซ้อนจะเพิ่มความน่าจะเป็นของข้อบกพร่องการกําหนดค่าผิดพลาดหรือการเข้าถึงโดย
  ไม่ได้ตั้งใจ
• ความคุ้นเคย - โค้ด ซอฟต์แวร์ ระบบปฏิบัติการ และฮาร์ดแวร์ทั่วไปจะเพิ่มความน่าจะเป็นที่ผู้โจมตีจะสามารถค้นหาหรือมีข้อมูลเกี่ยวกับช่องโหว่ที่ทราบได้
  
• การเชื่อมต่อ - ยิ่งอุปกรณ์เชื่อมต่อมากเท่าใด โอกาสที่จะเกิดช่องโหว่ก็จะยิ่งสูงขึ้นเท่านั้น
  
• การจัดการรหัสผ่านที่ไม่ดี - รหัสผ่านที่อ่อนแอสามารถทําลายได้ด้วยกําลังดุร้าย และการนํารหัสผ่านกลับมาใช้ใหม่อาจส่งผลให้เกิดการละเมิดข้อมูล
  เพียงครั้งเดียว
• ข้อบกพร่องของระบบปฏิบัติการ - เช่นเดียวกับซอฟต์แวร์อื่นๆ ระบบปฏิบัติการอาจมีข้อบกพร่อง ระบบปฏิบัติการที่ไม่ปลอดภัยตามค่าเริ่มต้นจะอนุญาตให้ผู้ใช้เข้าถึงและอาจฉีดไวรัสและมัลแวร์
  
• การใช้งานอินเทอร์เน็ต - อินเทอร์เน็ตเต็มไปด้วยสปายแวร์และแอดแวร์ที่สามารถติดตั้งบนคอมพิวเตอร์ได้โดยอัตโนมัติ
  
• ข้อบกพร่องของซอฟต์แวร์ - โปรแกรมเมอร์สามารถทิ้งข้อบกพร่องที่สามารถใช้ประโยชน์ได้ในซอฟต์แวร์โดยไม่ได้ตั้งใจหรือโดยเจตนา บางครั้งผู้ใช้ปลายทางล้มเหลวในการอัปเดตซอฟต์แวร์ของตนทําให้พวกเขาไม่ได้รับการแก้ไขและเสี่ยงต่อการถูกเอารัดเอาเปรียบ
  
• การป้อนข้อมูลของผู้ใช้ที่ไม่ได้เลือก - หากเว็บไซต์หรือซอฟต์แวร์ของคุณถือว่าอินพุตทั้งหมดปลอดภัย อาจเรียกใช้คําสั่ง
  SQL โดยไม่ได้ตั้งใจ
• ผู้คน - ช่องโหว่ที่ใหญ่ที่สุดในองค์กรคือมนุษย์ที่ส่วนท้ายของระบบ วิศวกรรมสังคมเป็นภัยคุกคามที่ใหญ่ที่สุดต่อองค์กรส่วนใหญ่ ภัยคุกคามทางไซเบอร์ประเภทนี้สามารถแก้ไขได้ด้วยโปรแกรมการรับรู้ภัยคุกคามทางไซเบอร์ภายในองค์กร

การจัดการช่องโหว่คืออะไร?

การจัดการช่องโหว่เป็นแนวทางปฏิบัติแบบวัฏจักรในการระบุ จําแนก แก้ไข และลดช่องโหว่ด้านความปลอดภัย องค์ประกอบสําคัญของการจัดการช่องโหว่ ได้แก่ การตรวจจับช่องโหว่ การประเมินช่องโหว่ และการแก้ไข

วิธีการตรวจจับช่องโหว่ ได้แก่ :

• การสแกนช่องโหว่
• การทดสอบการเจาะระบบ
• การแฮ็กของ Google

เมื่อพบช่องโหว่แล้ว จะผ่านกระบวนการประเมินช่องโหว่:

1. ระบุช่องโหว่

การวิเคราะห์การสแกนเครือข่าย ผลการทดสอบปากกา บันทึกไฟร์วอลล์ และผลการสแกนช่องโหว่เพื่อค้นหาความผิดปกติที่บ่งชี้ว่าการโจมตีทางไซเบอร์อาจใช้ประโยชน์จากช่องโหว่

2. ตรวจสอบช่องโหว่

ตัดสินใจว่าช่องโหว่ที่ระบุสามารถถูกใช้ประโยชน์ได้หรือไม่ และจําแนกความรุนแรงของการหาประโยชน์เพื่อทําความเข้าใจระดับความเสี่ยง

3. ลดช่องโหว่

ตัดสินใจเกี่ยวกับมาตรการรับมือและวิธีวัดประสิทธิภาพหากไม่มีแพตช์

4. แก้ไขช่องโหว่

การแก้ไขช่องโหว่จําเป็นต้องอัปเดตซอฟต์แวร์หรือฮาร์ดแวร์ที่ได้รับผลกระทบหากเป็นไปได้ เนื่องจากการโจมตีทางไซเบอร์มีการพัฒนาอย่างต่อเนื่องการจัดการช่องโหว่จึงต้องเป็นแนวทางปฏิบัติที่ต่อเนื่องและซ้ําซากเพื่อให้แน่ใจว่าองค์กรของคุณยังคงได้รับการปกป้อง

การสแกนช่องโหว่คืออะไร?

เครื่องสแกนช่องโหว่เป็นซอฟต์แวร์ที่ออกแบบมาเพื่อประเมินคอมพิวเตอร์ เครือข่าย หรือแอปพลิเคชันเพื่อหาช่องโหว่ที่ทราบ พวกเขาสามารถระบุและตรวจจับช่องโหว่ที่เกิดขึ้นจากการกําหนดค่าที่ผิดพลาดและการเขียนโปรแกรมที่มีข้อบกพร่องภายในเครือข่าย และทําการสแกนที่รับรองความถูกต้องและไม่ได้รับการรับรองความถูกต้อง:

• การสแกนที่รับรองความถูกต้อง: อนุญาตให้เครื่องสแกนช่องโหว่เข้าถึงสินทรัพย์บนเครือข่ายได้โดยตรงโดยใช้โปรโตคอลการดูแลระบบระยะไกล เช่น Secure Shell (SSH) หรือโปรโตคอลเดสก์ท็อประยะไกล (RDP) และตรวจสอบสิทธิ์โดยใช้ข้อมูลเข้าสู่ระบบที่ให้มา สิ่งนี้ให้การเข้าถึงข้อมูลระดับต่ํา เช่น บริการเฉพาะและรายละเอียดการกําหนดค่า ให้ข้อมูลโดยละเอียดและถูกต้องเกี่ยวกับระบบปฏิบัติการ ซอฟต์แวร์ที่ติดตั้ง ปัญหาการกําหนดค่า และแพตช์ความปลอดภัยที่ขาดหายไป

• การสแกนที่ไม่ได้รับการรับรองความถูกต้อง: ส่งผลให้เกิดผลบวกที่ผิดพลาดและข้อมูลที่ไม่น่าเชื่อถือเกี่ยวกับระบบปฏิบัติการและซอฟต์แวร์ที่ติดตั้ง โดยทั่วไปแล้วผู้โจมตีทางไซเบอร์และนักวิเคราะห์ความปลอดภัยจะใช้วิธีนี้เพื่อพยายามกําหนดเสถียรภาพด้านความปลอดภัยของสินทรัพย์ที่ต้องเผชิญกับภายนอกและเพื่อค้นหาการรั่วไหลของข้อมูลที่อาจเกิดขึ้น

การทดสอบการเจาะระบบคืออะไร?

การทดสอบการเจาะระบบหรือที่เรียกว่าการทดสอบปากกาหรือการแฮ็กอย่างมีจริยธรรมเป็นแนวทางปฏิบัติในการทดสอบสินทรัพย์เทคโนโลยีสารสนเทศเพื่อค้นหาช่องโหว่ด้านความปลอดภัยที่ผู้โจมตีสามารถใช้ประโยชน์ได้ การทดสอบการเจาะระบบสามารถทําได้โดยอัตโนมัติด้วยซอฟต์แวร์หรือดําเนินการด้วยตนเอง

ไม่ว่าจะด้วยวิธีใดกระบวนการคือการรวบรวมข้อมูลเกี่ยวกับเป้าหมายระบุช่องโหว่ที่เป็นไปได้และพยายามใช้ประโยชน์จากช่องโหว่เหล่านั้นและรายงานผลการวิจัย

การทดสอบการเจาะระบบอาจใช้เพื่อทดสอบนโยบายความปลอดภัยขององค์กรการปฏิบัติตามข้อกําหนดการรับรู้ด้านความปลอดภัยของพนักงานและความสามารถขององค์กรในการระบุและตอบสนองต่อเหตุการณ์ด้านความปลอดภัย

เรียนรู้เพิ่มเติมเกี่ยวกับการทดสอบการเจาะระบบ

Google Hacking คืออะไร?

การแฮ็กของ Google คือการใช้เครื่องมือค้นหา เช่น Google หรือ Bing ของ Microsoft เพื่อค้นหาช่องโหว่ด้านความปลอดภัย การแฮ็กของ Google ทําได้โดยใช้ตัวดําเนินการค้นหาขั้นสูงในการค้นหาข้อมูลที่หายากหรือข้อมูลที่เปิดเผยโดยไม่ได้ตั้งใจผ่านการกําหนดค่าบริการคลาวด์ที่ผิดพลาด

นักวิจัยด้านความปลอดภัยและผู้โจมตีใช้การสืบค้นเป้าหมายเหล่านี้เพื่อค้นหาข้อมูลที่ละเอียดอ่อนที่ไม่ได้มีวัตถุประสงค์เพื่อเปิดเผยต่อสาธารณะ

ช่องโหว่เหล่านี้มักจะแบ่งออกเป็นสองประเภท:

1. ช่องโหว่ของซอฟต์แวร์
2. การกําหนดค่าผิดพลาด

ที่กล่าวว่าผู้โจมตีส่วนใหญ่มักจะค้นหาการกําหนดค่าผู้ใช้ที่ผิดพลาดทั่วไปซึ่งพวกเขารู้วิธีใช้ประโยชน์จากอยู่แล้วและเพียงแค่สแกนหาระบบที่ทราบช่องโหว่ด้านความปลอดภัย

เพื่อป้องกันการแฮ็กของ Google คุณต้องตรวจสอบให้แน่ใจว่าบริการคลาวด์ทั้งหมดได้รับการกําหนดค่าอย่างเหมาะสม เมื่อบางสิ่งถูกเปิดเผยต่อ Google แล้วสิ่งนั้นจะถูกเปิดเผยต่อสาธารณะไม่ว่าคุณจะชอบหรือไม่ก็ตาม

ใช่ Google จะล้างแคชเป็นระยะ แต่จนกว่าจะถึงตอนนั้น ไฟล์ที่ละเอียดอ่อนของคุณจะถูกเปิดเผยต่อสาธารณะ

ฐานข้อมูลช่องโหว่คืออะไร?

ฐานข้อมูลช่องโหว่เป็นแพลตฟอร์มที่รวบรวม บํารุงรักษา และแบ่งปันข้อมูลเกี่ยวกับช่องโหว่ที่ค้นพบ MITRE เรียกใช้หนึ่งในรายการที่ใหญ่ที่สุดที่เรียกว่า CVE หรือ Common Vulnerabilities and Exposures และกําหนดคะแนน Common Vulnerability Scoring System (CVSS) เพื่อสะท้อนถึงความเสี่ยงที่อาจเกิดขึ้นจากช่องโหว่ที่อาจนํามาสู่องค์กรของคุณ

รายการส่วนกลางของ CVE นี้ทําหน้าที่เป็นรากฐานสําหรับเครื่องสแกนช่องโหว่จํานวนมาก

ประโยชน์ของฐานข้อมูลช่องโหว่สาธารณะคือช่วยให้องค์กรสามารถพัฒนาจัดลําดับความสําคัญและดําเนินการแพตช์และการบรรเทาผลกระทบอื่น ๆ เพื่อแก้ไขช่องโหว่ที่สําคัญ

ที่กล่าวว่าพวกเขายังสามารถทําให้เกิดช่องโหว่เพิ่มเติมจากแพตช์ที่เผยแพร่อย่างเร่งรีบซึ่งแก้ไขช่องโหว่แรก แต่สร้างช่องโหว่อื่น

ดูข้อโต้แย้งสําหรับการเปิดเผยข้อมูลทั้งหมดเทียบกับการเปิดเผยข้อมูลที่จํากัดด้านบน

ช่องโหว่ทั่วไปที่ระบุไว้ในฐานข้อมูลช่องโหว่ ได้แก่:

• ความล้มเหลวในการปรับใช้เบื้องต้น: ฟังก์ชันการทํางานสําหรับฐานข้อมูลอาจดูดี แต่หากไม่มีการทดสอบที่เข้มงวด ข้อบกพร่องอาจทําให้ผู้โจมตีสามารถแทรกซึมได้ การควบคุมความปลอดภัยที่ไม่ดี รหัสผ่านที่รัดกุม หรือการตั้งค่าความปลอดภัยเริ่มต้นอาจทําให้เนื้อหาที่ละเอียดอ่อนสามารถเข้าถึงได้แบบสาธารณะ

• การแทรก SQL: การโจมตีฐานข้อมูลมักถูกบันทึกไว้ในฐานข้อมูลช่องโหว่

• การกําหนดค่าผิดพลาด: บริษัทต่างๆ มักล้มเหลวในการกําหนดค่าบริการคลาวด์อย่างถูกต้อง

• การตรวจสอบไม่เพียงพอ: หากไม่มีการตรวจสอบ เป็นการยากที่จะทราบว่าข้อมูลได้รับการแก้ไขหรือเข้าถึงหรือไม่ ฐานข้อมูลช่องโหว่ได้ประกาศความสําคัญของการติดตามการตรวจสอบเพื่อยับยั้งการโจมตีทางไซเบอร์