Το MITRE μοιράστηκε τη φετινή λίστα με τα 25 κορυφαία σφάλματα λογισμικού (πιο συχνά και επικίνδυνα). Αξίζει να σημειωθεί ότι από τον Ιούνιο του 2023 (που κυκλοφόρησε η προηγούμενη λίστα) μέχρι τον Ιούνιο του 2024 αποκαλύφθηκαν περισσότερες από 31.000 ευπάθειες.
Οι αδυναμίες λογισμικού αναφέρονται σε ελαττώματα, σφάλματα, ευπάθειες και errors που εντοπίζονται στον κώδικα, την αρχιτεκτονική, την υλοποίηση ή το σχεδιασμό του λογισμικού.
Οι εισβολείς μπορούν να τα εκμεταλλευτούν για να παραβιάσουν συστήματα, κάτι που μπορεί να τους επιτρέψει να αποκτήσουν τον έλεγχο των επηρεαζόμενων συσκευών, να αποκτήσουν πρόσβαση σε ευαίσθητα δεδομένα ή να πυροδοτήσουν επιθέσεις DDoS.
Δείτε επίσης: Ευπάθεια στο Atlassian Sourcetree επιτρέπει εκτέλεση κώδικα
Το MITRE προειδοποίησε ότι αυτά τα σφάλματα ανακαλύπτονται εύκολα και μπορούν να αξιοποιηθούν από διάφορους κακόβουλους παράγοντες.
“Η αποκάλυψη των βαθύτερων αιτιών αυτών των τρωτών σημείων χρησιμεύει ως ένας ισχυρός οδηγός για επενδύσεις, πολιτικές και πρακτικές για να αποτραπεί η εμφάνισή τους εξαρχής. Κάτι τέτοιο θα λειτουργούσε προς όφελος τόσο της βιομηχανίας όσο και των κυβερνητικών φορέων“.
Η κατανόηση και η αντιμετώπιση αυτών των τρωτών σημείων είναι ζωτικής σημασίας για τη διατήρηση ισχυρών πρακτικών ασφάλειας στον κυβερνοχώρο. Η τακτική ενημέρωση του λογισμικού και η διεξαγωγή αυστηρών ελέγχων ασφαλείας μπορεί να βοηθήσει στον εντοπισμό και την επιδιόρθωση αυτών των αδυναμιών προτού μπορέσουν να γίνουν αντικείμενο εκμετάλλευσης από κακόβουλους παράγοντες. Επιπλέον, η εφαρμογή πρακτικών ασφαλούς κωδικοποίησης και η εκπαίδευση των προγραμματιστών σχετικά με τη σημασία της ασφάλειας μπορεί να μειώσει σημαντικά την εμφάνιση αυτών των τρωτών σημείων σε μελλοντικές εξελίξεις λογισμικού.
Για τη δημιουργία της φετινής λίστα με τα κορυφαία σφάλματα λογισμικού, το MITRE βαθμολόγησε κάθε αδυναμία με βάση τη σοβαρότητα και τη συχνότητά της, αφού ανέλυσε 31.770 εγγραφές CVE για ευπάθειες που αναφέρθηκαν το 2023 και το 2024. Δόθηκε ιδιαίτερη έμφαση στα security flaws που προστέθηκαν στον κατάλογο Known Exploited Vulnerabilities (KEV) της CISA.
Δείτε επίσης: Microsoft Zero Day Quest: Hacking event για εύρεση ευπαθειών σε cloud και AI
“Αυτή η ετήσια λίστα εντοπίζει τις πιο κρίσιμες αδυναμίες λογισμικού που οι επιτιθέμενοι εκμεταλλεύονται συχνά για να παραβιάσουν συστήματα, να κλέψουν ευαίσθητα δεδομένα ή να διαταράξουν βασικές υπηρεσίες“, πρόσθεσε η CISA.
“Οι οργανισμοί ενθαρρύνονται να επανεξετάσουν αυτήν τη λίστα και να τη χρησιμοποιήσουν για να ενημερώσουν τις στρατηγικές ασφάλειας λογισμικού τους. Η ιεράρχηση αυτών των αδυναμιών συμβάλλει στην αποφυγή τρωτών σημείων στον πυρήνα του κύκλου ζωής του λογισμικού“.
| Rank | ID | Name | Score | KEV CVEs | Change |
|---|---|---|---|---|---|
| 1 | CWE-79 | Cross-site Scripting | 56.92 | 3 | +1 |
| 2 | CWE-787 | Out-of-bounds Write | 45.20 | 18 | -1 |
| 3 | CWE-89 | SQL Injection | 35.88 | 4 | 0 |
| 4 | CWE-352 | Cross-Site Request Forgery (CSRF) | 19.57 | 0 | +5 |
| 5 | CWE-22 | Path Traversal | 12.74 | 4 | +3 |
| 6 | CWE-125 | Out-of-bounds Read | 11.42 | 3 | +1 |
| 7 | CWE-78 | OS Command Injection | 11.30 | 5 | -2 |
| 8 | CWE-416 | Use After Free | 10.19 | 5 | -4 |
| 9 | CWE-862 | Missing Authorization | 10.11 | 0 | +2 |
| 10 | CWE-434 | Unrestricted Upload of File with Dangerous Type | 10.03 | 0 | 0 |
| 11 | CWE-94 | Code Injection | 7.13 | 7 | +12 |
| 12 | CWE-20 | Improper Input Validation | 6.78 | 1 | -6 |
| 13 | CWE-77 | Command Injection | 6.74 | 4 | +3 |
| 14 | CWE-287 | Improper Authentication | 5.94 | 4 | -1 |
| 15 | CWE-269 | Improper Privilege Management | 5.22 | 0 | +7 |
| 16 | CWE-502 | Deserialization of Untrusted Data | 5.07 | 5 | -1 |
| 17 | CWE-200 | Exposure of Sensitive Information to an Unauthorized Actor | 5.07 | 0 | +13 |
| 18 | CWE-863 | Incorrect Authorization | 4.05 | 2 | +6 |
| 19 | CWE-918 | Server-Side Request Forgery (SSRF) | 4.05 | 2 | 0 |
| 20 | CWE-119 | Improper Operations Restriction in Memory Buffer Bounds | 3.69 | 2 | -3 |
| 21 | CWE-476 | NULL Pointer Dereference | 3.58 | 0 | -9 |
| 22 | CWE-798 | Use of Hard-coded Credentials | 3.46 | 2 | -4 |
| 23 | CWE-190 | Integer Overflow or Wraparound | 3.37 | 3 | -9 |
| 24 | CWE-400 | Uncontrolled Resource Consumption | 3.23 | 0 | +13 |
| 25 | CWE-306 | Missing Authentication for Critical Function | 2.73 | 5 | -5 |
Δυστυχώς, τα σφάλματα λογισμικού είναι μια αναπόφευκτη πραγματικότητα στον κόσμο της ανάπτυξης λογισμικού. Ωστόσο, ο έγκαιρος εντοπισμός τους και η αντιμετώπισή τους είναι απαραίτητα για την ασφάλεια των συστημάτων.
Δείτε επίσης: Το Google Chrome διόρθωσε κρίσιμες ευπάθειες
Την περασμένη εβδομάδα, το FBI, η NSA και οι αρχές κυβερνοασφάλειας της συμμαχίας Five Eyes δημοσίευσαν μια λίστα με τις 15 κορυφαίες ευπάθειες ασφαλείας που χρησιμοποιήθηκαν πιο συχνά πέρυσι. Οι υπηρεσίες προειδοποίησαν ότι οι επιτιθέμενοι επικεντρώθηκαν στη στόχευση zero-days.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Οι οργανισμοί πρέπει να αντιμετωπίσουν αυτά τα γνωστά τρωτά σημεία, αλλά πρέπει επίσης να παραμείνουν σε επαγρύπνηση έναντι των αναδυόμενων απειλών. Καθώς η τεχνολογία προχωρά, ενδέχεται να προκύψουν νέα σφάλματα. Οι οργανισμοί πρέπει να αξιολογούν συνεχώς τα συστήματά τους και να ενημερώνουν ανάλογα τις άμυνές τους.
Πηγή: www.bleepingcomputer.com
