MITRE actualizează lista cu top 25 cele mai grave vulnerabilități

MITRE Corporation a publicat o listă actualizată a celor mai periculoase 25 de vulnerabilități software.

Top 25 CWE 2023 enumeră vulnerabilități comune și cu un impact mai mare care sunt adesea exploatate în atacuri malițioase cu scopul de a prelua controlul asupra sistemelor, a colecta informații sau a declanșa atacuri de tip denial-of-service (DoS).

Principala schimbare în fruntea listei din acest an este creșterea numărului de vulnerabilități de tip use-after-free, fiind a patra cea mai gravă vulnerabilitate software comparativ cu poziția a șaptea pe care a avut-o anul trecut.

În plus, vulnerabilitățile de tip OS command injection (improper neutralization of special elements used in an OS command) au urcat o poziție, ajungând până pe locul cinci.

Exploatarea acestora ar putea permite persoanelor rău intenționate să iși mărească privilegiile și să execute comenzi malițioase direct pe sistemul de operare.

Vulnerabilitățile de tip out-of-bounds write și cross-site scripting (XSS) continuă să se afle primele pe listă, fiind urmate de vulnerabilitățile de tip SQL injection.

Este de remarcat faptul că două tipuri de vulnerabilități au intrat în TOP 25 CWE 2023, și anume namely improper privilege management (poziția 22 față de 29) și incorrect authorization (poziția 24 față de 28).

Vulnerabilitățile de tip namely improper privilege management sunt cauzate atunci când se dorește implementarea unei măsuri de securitate arhitecturală.

Vulnerabilitatea incorrect authorization permite atacatorilor să ocolească măsurile de securitate prevăzute.

Vulnerabilitățile uncontrolled resource consumption și improper restriction of XML external entity reference (XXE) au ieșit din top 25 cele mai periculoase vulnerabilități în acest an.

Exploatarea vulnerabilității uncontrolled resource consumption ar putea permite unui atacator să lanseze un atac de tip denial-of-service pentru a epuiza resursele disponibile, încetinind aplicațiile sau sistemul de operare.

Vulnerabilitatea improper restriction of XML external entity reference (XXE) permite atacatorilor să ocolească măsurile de securitate ale firewall-ului sau să ascundă sursa atacurilor, cum ar fi scanarea de porturi.

Administratorii și echipele de securitate sunt sfătuiți să analizeze lista privind topul vulnerabilităților și să aplice actualizările de securitate necesare.

Sursă: https://www.securityweek.com/mitre-updates-cwe-top-25-most-dangerous-software-weaknesses/