MITRE 發布 2019 軟件缺陷 Top25
作者:星期一, 九月 23, 20190

列表包含可致嚴重軟件漏洞的最常見關鍵缺陷。

9 月 17 日,MITRE 公布《通用缺陷列表 (CWE) Top 25 最危險軟件錯誤》草稿,并在新聞發布中解釋稱,這是一份關于可致嚴重軟件漏洞的最普遍、最關鍵缺陷的列表。

在一份關于該列表的咨詢報告中, 網絡安全與基礎設施安全局 (CISA) 稱,攻擊者常能利用這些漏洞奪取受影響系統的控制權,盜取敏感數據,或者引發拒絕服務。用戶和管理員最好能查閱該列表,并了解 MITRE 建議實施的緩解措施。

該 Top 25 列表是可供軟件開發人員、測試員、客戶、項目經理、安全研究員和教育者探索軟件通用威脅的社區資源。今年,MITRE 團隊采用了新方法生成該列表:從美國國家漏洞數據庫 (NVD) 中抽取 CVE 相關數據,并將發生率和通用漏洞評分系統 (CVSS) 平均得分納入定級考慮。每個缺陷的發生率水平和危險程度都采用評分公式確定。

此前該列表都是通過匯聚多家企業的調查問卷回復,以及收集來自安全分析師、研究人員和開發者的反饋生成。調查中會讓行業專家提名自己認為最普遍或最重要的缺陷,并會使用 CVSS 的定制部分來確定每個缺陷的排名。

MITRE 表示,這種方法有很多優勢,但太費時費力,而且過于主觀。

2019 列表則動用了更細致、更具統計意義的過程,利用已報告漏洞的數據來衡量每個缺陷的危險程度。

MITRE 軟件保障主管 Drew Buttner 表示,他們想采用一種更客觀且基于現實世界的方法。2019 Top 25 列表包含從 2017 到 2018 的缺陷,反映 CWE 團隊修正數千個錯誤映射的 CVE 條目的努力。MITRE 計劃在 2020 列表中評估未來一年的映射。Buttner 指出,今年的 Top 25 列表是自 2011 年以來首度推出,但 MITRE 未來的目標是每年都推出一個新列表。

福彩3d万能4码走势图:2019 頂級缺陷

2011年福彩3d走势 www.oykik.tw 今年的 Top 25 并不出人意外。很多頂級缺陷繼續出現在列表中,即便過了十年也依舊霸榜。雖然處在列表末端的缺陷讓位于新缺陷,榜首的幾個缺陷通常穩坐不動。

得分最高的缺陷是 CWE-119——緩沖區溢出,或稱 “內存緩沖區邊界內操作的不當限制”,分數 75.76。有些編程語言允許直接內存尋址,不自動確保內存地址對被引用的內存緩沖區有效,可導致讀/寫操作在鏈向數據結構或內部程序數據的內存地址上執行。攻擊者可由此執行惡意代碼、修改控制流、讀取敏感數據,或者直接搞崩系統。

Buttner 和 MITRE CWE 項目主管 Chris Levendis 預測,緩沖區溢出可能處于列表頂部,就像 2011 年那樣,而且這也是整個行業頗為熟知的缺陷了。

得分次高的是 CWE-79——跨站腳本,或稱 “網頁生成期間輸入不當中和”,分數 45.69。在置入后續以網頁形式提供給其他用戶的輸出前,軟件不中和,或者不當中和用戶可控的輸入。非受信數據可能進入 Web 應用并最終執行惡意腳本。

排第三的是 CWE-20——輸入不當驗證,軟件不驗證,或不當驗證可影響程序控制流或數據流的輸入。攻擊者可寫入應用未預期的輸入??稍斐上低匙榧郵輾竊て謔淙?,引發任意代碼執行或控制流篡改。

軟件用戶可利用該 Top 25 列表,在購買軟件前衡量出品公司的安全操作。使用開源的用戶可以更好地了解開發者是否注意到這些缺陷,開發人員也能將此列表當作涵蓋應關注缺陷的 “優先級備忘錄”。

最起碼,作為軟件消費者是可以將此列表作為軟件安全性參考的。

CISA 咨詢報告:

https://www.us-cert.gov/ncas/current-activity/2019/09/17/2019-cwe-top-25-most-dangerous-software-errors

MITRE 2019 CEW TOP 25:

https://cwe.mitre.org/top25/archive/2019/2019_cwe_top25.html

CWE-79:

https://cwe.mitre.org/data/definitions/79.html

相關閱讀

 

混沌:軟件工程新趨勢?

23款最佳免費安全工具

 

 


相關文章

寫一條評論

 

 

0條評論