Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 30 Giugno 2022 17:45
Gli specialisti di MITRE hanno pubblicato un elenco dei 25 problemi più comuni e più pericolosi di quest’anno. Tali bug possono potenzialmente esporre i sistemi ad attacchi, consentire agli aggressori di assumere il controllo di dispositivi vulnerabili, accedere a informazioni riservate o causare un denial of service.
Questa volta, l’elenco è stato compilato con il supporto dell’Istituto nazionale di progettazione e ingegneria dei sistemi di sicurezza e dell’Agenzia per la sicurezza informatica e delle infrastrutture (CISA).
È interessante notare che alcuni anni fa l’elenco è stato creato sulla base di sondaggi e interviste personali con sviluppatori, importanti analisti della sicurezza, ricercatori e fornitori.
La NIS2 è complessa da capire?
Non perdere tempo, segui l'anteprima gratuita del corso che stiamo preparando.Accedi quindi alla nostra Academy e segui l'anteprima del corso della durata di 30 minuti per comprendere i contenuti esclusivi che tratteremo nel corso.per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
I problemi nell’elenco hanno i propri identificatori CWE (da non confondere con CVE) ovvero le Common Weakness Enumeration. I CWE rappresentano un sistema di categorie per punti deboli e vulnerabilità hardware e software. È sostenuto da un progetto comunitario con l’obiettivo di comprendere i difetti nel software e dell’hardware e creare strumenti automatizzati che possono essere utilizzati per identificare, correggere e prevenire tali difetti
I CWE sono suddivisi in più di 600 categorie che combinano classi molto ampie di problemi diversi, come CWE-20 (convalida dell’input errata), CWE-200 (divulgazione di informazioni) e CWE-287 (autenticazione errata).
MITRE riporta che il set di dati utilizzato per compilare la nuova lista conteneva un totale di 37.899 CVE ID negli ultimi due anni di calendario. Anche questa volta la metodologia di calcolo è leggermente cambiata: l’elenco si basa sulle informazioni del catalogo NVD (National Vulnerability Database) e del catalogo Known Exploited Vulnerabilities (KEV), che CISA ha iniziato a compilare nel 2021.
Attualmente, KEV contiene informazioni su 800 vulnerabilità note utilizzate negli attacchi.
I bug più pericolosi di MITRE continuano ad essere quelli facili da individuare, ad alto impatto e diffusi nei software rilasciati negli ultimi due anni.
I 25 principali problemi identificati dagli esperti di MITRE possono essere visualizzati nella tabella seguente.
| Rank | ID | Name | Score | KEV Count (CVEs) | Rank Change vs. 2021 |
|---|---|---|---|---|---|
| 1 | CWE-787 | Out-of-bounds Write | 64.20 | 62 | 0 |
| 2 | CWE-79 | Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) | 45.97 | 2 | 0 |
| 3 | CWE-89 | Improper Neutralization of Special Elements used in an SQL Command (‘SQL Injection’) | 22.11 | 7 | +3  |
| 4 | CWE-20 | Improper Input Validation | 20.63 | 20 | 0 |
| 5 | CWE-125 | Out-of-bounds Read | 17.67 | 1 | -2  |
| 6 | CWE-78 | Improper Neutralization of Special Elements used in an OS Command (‘OS Command Injection’) | 17.53 | 32 | -1 |
| 7 | CWE-416 | Use After Free | 15.50 | 28 | 0 |
| 8 | CWE-22 | Improper Limitation of a Pathname to a Restricted Directory (‘Path Traversal’) | 14.08 | 19 | 0 |
| 9 | CWE-352 | Cross-Site Request Forgery (CSRF) | 11.53 | 1 | 0 |
| 10 | CWE-434 | Unrestricted Upload of File with Dangerous Type | 9.56 | 6 | 0 |
| 11 | CWE-476 | NULL Pointer Dereference | 7.15 | 0 | +4 |
| 12 | CWE-502 | Deserialization of Untrusted Data | 6.68 | 7 | +1 |
| 13 | CWE-190 | Integer Overflow or Wraparound | 6.53 | 2 | -1 |
| 14 | CWE-287 | Improper Authentication | 6.35 | 4 | 0 |
| 15 | CWE-798 | Use of Hard-coded Credentials | 5.66 | 0 | +1 |
| 16 | CWE-862 | Missing Authorization | 5.53 | 1 | +2 |
| 17 | CWE-77 | Improper Neutralization of Special Elements used in a Command (‘Command Injection’) | 5.42 | 5 | +8 |
| 18 | CWE-306 | Missing Authentication for Critical Function | 5.15 | 6 | -7 |
| 19 | CWE-119 | Improper Restriction of Operations within the Bounds of a Memory Buffer | 4.85 | 6 | -2 |
| 20 | CWE-276 | Incorrect Default Permissions | 4.84 | 0 | -1 |
| 21 | CWE-918 | Server-Side Request Forgery (SSRF) | 4.27 | 8 | +3 |
| 22 | CWE-362 | Concurrent Execution using Shared Resource with Improper Synchronization (‘Race Condition’) | 3.57 | 6 | +11 |
| 23 | CWE-400 | Uncontrolled Resource Consumption | 3.56 | 2 | +4 |
| 24 | CWE-611 | Improper Restriction of XML External Entity Reference | 3.38 | 0 | -1 |
| 25 | CWE-94 | Improper Control of Generation of Code (‘Code Injection’) | 3.32 | 4 | +3 |
Rispetto alla top 2021 sono scomparse dalla lista tre tipologie di vulnerabilità: divulgazione di informazioni riservate a soggetto non autorizzato (scese al 33° posto), protezione insufficiente delle credenziali (ora al 38° posto) e errata assegnazione dei permessi per le risorse critiche ( 30° posto).
Redazione