Redazione RHC : 30 Giugno 2022 17:45
Gli specialisti di MITRE hanno pubblicato un elenco dei 25 problemi più comuni e più pericolosi di quest’anno. Tali bug possono potenzialmente esporre i sistemi ad attacchi, consentire agli aggressori di assumere il controllo di dispositivi vulnerabili, accedere a informazioni riservate o causare un denial of service.
Questa volta, l’elenco è stato compilato con il supporto dell’Istituto nazionale di progettazione e ingegneria dei sistemi di sicurezza e dell’Agenzia per la sicurezza informatica e delle infrastrutture (CISA).
È interessante notare che alcuni anni fa l’elenco è stato creato sulla base di sondaggi e interviste personali con sviluppatori, importanti analisti della sicurezza, ricercatori e fornitori.
Distribuisci i nostri corsi di formazione diventando un nostro Affiliato
Se sei un influencer, gestisci una community, un blog, un profilo social o semplicemente hai tanta voglia di diffondere cultura digitale e cybersecurity, questo è il momento perfetto per collaborare con RHC Academy. Unisciti al nostro Affiliate Program: potrai promuovere i nostri corsi online e guadagnare provvigioni ad ogni corso venduto. Fai parte del cambiamento. Diffondi conoscenza, costruisci fiducia, genera valore.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
I problemi nell’elenco hanno i propri identificatori CWE (da non confondere con CVE) ovvero le Common Weakness Enumeration. I CWE rappresentano un sistema di categorie per punti deboli e vulnerabilità hardware e software. È sostenuto da un progetto comunitario con l’obiettivo di comprendere i difetti nel software e dell’hardware e creare strumenti automatizzati che possono essere utilizzati per identificare, correggere e prevenire tali difetti
I CWE sono suddivisi in più di 600 categorie che combinano classi molto ampie di problemi diversi, come CWE-20 (convalida dell’input errata), CWE-200 (divulgazione di informazioni) e CWE-287 (autenticazione errata).
MITRE riporta che il set di dati utilizzato per compilare la nuova lista conteneva un totale di 37.899 CVE ID negli ultimi due anni di calendario. Anche questa volta la metodologia di calcolo è leggermente cambiata: l’elenco si basa sulle informazioni del catalogo NVD (National Vulnerability Database) e del catalogo Known Exploited Vulnerabilities (KEV), che CISA ha iniziato a compilare nel 2021.
Attualmente, KEV contiene informazioni su 800 vulnerabilità note utilizzate negli attacchi.
I bug più pericolosi di MITRE continuano ad essere quelli facili da individuare, ad alto impatto e diffusi nei software rilasciati negli ultimi due anni.
I 25 principali problemi identificati dagli esperti di MITRE possono essere visualizzati nella tabella seguente.
| Rank | ID | Name | Score | KEV Count (CVEs) | Rank Change vs. 2021 |
|---|---|---|---|---|---|
| 1 | CWE-787 | Out-of-bounds Write | 64.20 | 62 | 0 |
| 2 | CWE-79 | Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) | 45.97 | 2 | 0 |
| 3 | CWE-89 | Improper Neutralization of Special Elements used in an SQL Command (‘SQL Injection’) | 22.11 | 7 | +3  |
| 4 | CWE-20 | Improper Input Validation | 20.63 | 20 | 0 |
| 5 | CWE-125 | Out-of-bounds Read | 17.67 | 1 | -2  |
| 6 | CWE-78 | Improper Neutralization of Special Elements used in an OS Command (‘OS Command Injection’) | 17.53 | 32 | -1 |
| 7 | CWE-416 | Use After Free | 15.50 | 28 | 0 |
| 8 | CWE-22 | Improper Limitation of a Pathname to a Restricted Directory (‘Path Traversal’) | 14.08 | 19 | 0 |
| 9 | CWE-352 | Cross-Site Request Forgery (CSRF) | 11.53 | 1 | 0 |
| 10 | CWE-434 | Unrestricted Upload of File with Dangerous Type | 9.56 | 6 | 0 |
| 11 | CWE-476 | NULL Pointer Dereference | 7.15 | 0 | +4 |
| 12 | CWE-502 | Deserialization of Untrusted Data | 6.68 | 7 | +1 |
| 13 | CWE-190 | Integer Overflow or Wraparound | 6.53 | 2 | -1 |
| 14 | CWE-287 | Improper Authentication | 6.35 | 4 | 0 |
| 15 | CWE-798 | Use of Hard-coded Credentials | 5.66 | 0 | +1 |
| 16 | CWE-862 | Missing Authorization | 5.53 | 1 | +2 |
| 17 | CWE-77 | Improper Neutralization of Special Elements used in a Command (‘Command Injection’) | 5.42 | 5 | +8 |
| 18 | CWE-306 | Missing Authentication for Critical Function | 5.15 | 6 | -7 |
| 19 | CWE-119 | Improper Restriction of Operations within the Bounds of a Memory Buffer | 4.85 | 6 | -2 |
| 20 | CWE-276 | Incorrect Default Permissions | 4.84 | 0 | -1 |
| 21 | CWE-918 | Server-Side Request Forgery (SSRF) | 4.27 | 8 | +3 |
| 22 | CWE-362 | Concurrent Execution using Shared Resource with Improper Synchronization (‘Race Condition’) | 3.57 | 6 | +11 |
| 23 | CWE-400 | Uncontrolled Resource Consumption | 3.56 | 2 | +4 |
| 24 | CWE-611 | Improper Restriction of XML External Entity Reference | 3.38 | 0 | -1 |
| 25 | CWE-94 | Improper Control of Generation of Code (‘Code Injection’) | 3.32 | 4 | +3 |
Rispetto alla top 2021 sono scomparse dalla lista tre tipologie di vulnerabilità: divulgazione di informazioni riservate a soggetto non autorizzato (scese al 33° posto), protezione insufficiente delle credenziali (ora al 38° posto) e errata assegnazione dei permessi per le risorse critiche ( 30° posto).
RedazioneIl CERT-AgID recentemente aveva avvertito che molte istanze pubbliche non sono ancora state aggiornate e tra queste 70 sono relative a banche, assicurazioni e pubbliche amministrazioni italiane. Ora l...
Shellter Project, produttore di un downloader commerciale per bypassare i sistemi antivirus ed EDR, ha segnalato che gli hacker stanno utilizzando il suo prodotto Shellter Elite per gli attacchi. Ques...
Il progetto Cyberpandino non è solo un’idea folle, ma una grande avventura su quattro ruote progettata e realizzata da due menti brillanti romane – Matteo Errera e Roberto Zaccardi ...
Un nuovo infostealer emerge dalle underground criminali e il suo nome è “123 | Stealer”. L’autore di questo software è un hacker che si nasconde sotto lo pseudonimo di k...
A soli 13 anni, Dylan è diventato il più giovane ricercatore di sicurezza a collaborare con il Microsoft Security Response Center (MSRC), dimostrando come la curiosità e la perseveranza...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
