8373 подписчика

MITRE опубликовала список 25 наиболее опасных уязвимостей ПО за последние два года

30 июня 202330 июн 2023

2 мин

Некоммерческая организация MITRE опубликовала список 25 наиболее опасных уязвимостей ПО за последний двухлетний период. Представленные «слабые стороны» программного обеспечения, как отмечается, охватывают огромный спектр проблем, включая ошибки, уязвимости и баги в коде, архитектуре, реализации или дизайне программных решений.

Специалисты MITREотмечают, что эти «слабые места» могут подвергать рискам безопасность систем, на которых установлено и работает программное обеспечение. Они предоставляют точку входа для киберпреступников, которые стремятся получить контроль над другими устройствами, получить доступ к конфиденциальной информации и вызвать отказ в обслуживании.

Для составления этого списка специалисты MITRE оценивали каждую уязвимость в зависимости от ее серьезности и распространенности, проанализировав около 44 000 записей в Национальной базе данных уязвимостей (NVD) NIST. Эксперты исследовали уязвимости, которые были обнаружены и зарегистрированы в 2021-2022 годах. Особое внимание было уделено ошибкам, которые были добавлены в список известных эксплуатируемых уязвимостей американского Агентства по кибербезопасности и защите инфраструктуры (CISA).

Согласно MITRE, перечисленные ниже 25 уязвимостей представляют наибольшую опасность из-за их существенного влияния и широкого распространения в софте, выпущенном за последние два года:

CWE-787 (Out-of-bounds Write).
CWE-79 (Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’).
CWE-89 (Improper Neutralization of Special Elements used in an SQL Command (‘SQL Injection’).
CWE-416 (Use After Free).
CWE-78 (Improper Neutralization of Special Elements used in an OS Command (‘OS Command Injection’).
CWE-20 (Improper Input Validation).
CWE-125 (Out-of-bounds Read).
CWE-22 (Improper Limitation of a Pathname to a Restricted Directory (‘Path Traversal’).
CWE-352 (Cross-Site Request Forgery (CSRF).
CWE-434 (Unrestricted Upload of File with Dangerous Type).
CWE-862 (Missing Authorization).
CWE-476 (NULL Pointer Dereference).
CWE-287 (Improper Authentication).
CWE-190 (Integer Overflow or Wraparound).
CWE-502 (Deserialization of Untrusted Data).
CWE-77 (Improper Neutralization of Special Elements used in a Command (‘Command Injection’).
CWE-119 (Improper Restriction of Operations within the Bounds of a Memory Buffer).
CWE-798 (Use of Hard-coded Credentials).
CWE-918 (Server-Side Request Forgery (SSRF).
CWE-306 (Missing Authentication for Critical Function).
CWE-362 (Concurrent Execution using Shared Resource with Improper Synchronization (‘Race Condition’).
CWE-269 (Improper Privilege Management).
CWE-94 (Improper Control of Generation of Code (‘Code Injection’).
CWE-863 (Incorrect Authorization).
CWE-276 (Incorrect Default Permissions).