ARK. 1Słownik pojęćPodatności i klasy błędów
łatka (patch)
Poprawka kodu wydana przez producenta, która usuwa konkretną podatność lub błąd w oprogramowaniu.
TAB. 1Nazwaobie formy
| Po angielsku | patch |
|---|---|
| Po polsku | łatka (patch) |
| Którą formą pisać | obie formy Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski. |
| Inne formy | poprawka · poprawka bezpieczeństwa · aktualizacja bezpieczeństwa |
| Odmiana | ta łatka, tej łatki, tę łatkę, o łatce; l.mn. te łatki, tych łatek; czasownik: łatać / załatać / załatany („producent załatał podatność"); zapożyczenie odmienia się w pełni i BEZ apostrofu: ten patch, tego patcha, o patchu, l.mn. patche, tych patchy |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „łatka", „poprawka", „aktualizacja" oraz czasowniki „łata", „załatał", „łatajcie się" (niebezpiecznik, sekurak) — obok żywego, odmienianego zapożyczenia „patch/patcha" w tytułach sekuraka |
|---|
TAB. 3Źródła5
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „Łatka jest już dostępna i powinna być jak najszybciej zaaplikowana” | niebezpiecznik.pl |
| PL | „Na dziurę w Windowsie nie ma „objeścia" — uratuje Was tylko instalacja poprawki.” | niebezpiecznik.pl |
| PL | „kolejną wersję ich flagowego narzędzia, która łata dziewięć podatności” | sekurak.pl |
| PL | „nalot nowych funkcji bezpieczeństwa… oraz łatek podatności” | sekurak.pl |
| EN | „Był patch, nie ma patcha, jest kolejny patch. Apple walczy z 0dayem na iPhony (tytuł artykułu)” | sekurak.pl |
TAB. 4Obok w tej dziedzinie6
| KEV | KEV (known exploited vulnerabilities) | Prowadzony przez amerykańską agencję CISA katalog podatności z potwierdzonymi przypadkami wykorzystania w realnych atakach. Dla amerykańskiej administracji federalnej wpis do KEV oznacza prawny obowiązek załatania w wyznaczonym terminie (dyrektywa BOD 22-01); dla wszystkich pozostałych to bardzo silna przesłanka priorytetu, a nie obowiązek. |
| LFI (Local File Inclusion) | local file inclusion (LFI) | Podatność pozwalająca wskazać aplikacji plik JUŻ OBECNY na serwerze, który zostanie wczytany lub wykonany przez interpreter, co prowadzi do ujawnienia konfiguracji, a często do wykonania kodu. |
| listowanie katalogów | directory listing (directory indexing) | Funkcja serwera WWW, która przy braku pliku index w katalogu wyświetla listę wszystkich znajdujących się w nim plików. Na stronie WordPress ujawnia np. zawartość wp-content/uploads, kopie zapasowe czy logi; wyłącza się ją dyrektywą Options -Indexes w .htaccess lub w konfiguracji serwera. |
| mass assignment | mass assignment | Podatność, w której aplikacja automatycznie przepisuje wszystkie pola z żądania (np. JSON do API) na obiekt lub rekord w bazie, więc atakujący może dopisać pole, którego nie powinien zmieniać — np. rolę administratora. W WordPressie analogiem jest endpoint REST lub AJAX wtyczki, który bez listy dozwolonych kluczy przekazuje całe $_POST do update_user_meta() lub wp_update_user(). |
| n-day | n-day | Podatność już publicznie znana i naprawiona przez producenta, wciąż skutecznie wykorzystywana na systemach, na których nie zainstalowano aktualizacji; exploity tej klasy są tanie lub darmowe, bo są publicznie dostępne. |
| NVD | National Vulnerability Database (NVD) | Amerykańska baza podatności prowadzona przez NIST, która uzupełnia rekordy CVE o analizę: ocenę CVSS, klasę CWE i listę dotkniętych produktów w formacie CPE. Sama nie nadaje numerów CVE — opisuje te, które nadały CNA, i robi to z opóźnieniem, więc świeży wpis często nie ma jeszcze oceny NVD. |
TAB. 5