Американська організація MITRE опублікувала список з 25 найбільш небезпечних вразливостей програмного забезпечення. Дослідники склали таблицю найбільш небезпечних і поширених проблем безпеки, із зазначенням ідентифікаторів CWE (Common Weakness Enumeration).
У топ-25 потрапила велика кількість вразливостей, які дозволяють зловмисникам повністю захопити контроль над комп’ютерними програмами, виводити їх з ладу і викрадати оброблювані в них дані. Список дозволяє фахівцям з інформаційної безпеки краще розуміти ландшафт загроз безпеки, але буде корисний також розробникам ПО, тестувальникам і користувачам програмних продуктів.
Методологія дослідження
Для складання списку фахівці MITRE використовували інформацію про опубліковані вразливості (CVE, Common Vulnerabilities and Exposures), інформацію про них з бази даних NVD (National Vulnerability Database), а також рейтинги небезпеки уразливості CVSS (Common Vulnerability Scoring System). Був розроблений унікальний алгоритм оцінки поширеності і небезпеки вразливостей.
Топ-3 небезпечних вразливостей
Згідно зі звітом, найбільш небезпечною виявилася уразливість під назвою «Неправильне обмеження операцій всередині кордонів буфера пам’яті» (Improper Restriction of Operations within the Bounds of a Memory Buffer). Помилка виникає, коли софт працює всередині виділеного буфера пам’яті, але при цьому отримує можливість читати або записувати дані і поза межами цього буфера. Експлуатація цієї уразливості дозволяє атакуючим виконувати довільний код, викрадати критично важливі дані і повністю виводити програмні комплекси з ладу.
На другому місці по небезпеці опинилася вразливість з кодом CWE-79 – «Невірна нейтралізація введення під час генерації веб-сторінки» (Improper Neutralization of Input During Web Page Generation). Міжсайтового виконання сценаріїв (XSS) – більш звична її назва. Уразливості такого типу зустрічаються часто і можуть призводити до серйозних наслідків через недостатній контроль даних, які користувачі вводять на сторінках сайту.
На третьому місці вразливість «Невірна валідація введення» (CWE-20). Атакуючий може скласти спеціальний шкідливий запит і система відреагує на нього, надавши підвищені привілеї або доступ до критично важливих даних.
Нижче повна таблиця найнебезпечніших вразливостей за версією MITRE.
Інші актуальні кіберзагрози
Рейтинг MITRE – не єдине джерело інформації про актуальні кіберзагрози. Positive Technologies публікувала звіт про атаки на веб-додатки за підсумками 2018 року. У трійку найбільш поширених атак на веб-сайти увійшли «SQL ін’єкція» (SQL Injection), «Вихід за межі каталогу» (Path Traversal) і «міжсайтове виконання сценаріїв» (Cross-Site Scripting, XSS).
Крім того, експерти Positive Technologies раз в квартал публікують аналітичні звіти про актуальні кіберзагрози. Так, у другому кварталі 2019 року кіберзлочинці активно експлуатували вразливість в поштовому сервері Exim (CVE-2019-10149). Помилка використовується по-різному: одні зловмисники завантажують з її допомогою софт для майнінгу криптовалют, інші впроваджують бекдори на поштові сервери.
Джерело: habr.com
