Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Le 25 vulnerabilità software più pericolose secondo CWE

Lug 04, 2023 Marina Londei Approfondimenti, In evidenza, RSS, Software, Vulnerabilità 0

Il team CWE ha pubblicato la lista annuale delle 25 vulnerabilità software più pericolose in circolazione. La lista è stata redatta analizzando i dati del National Vulnerability Database (NVD) del NIST relativi al 2021 e 2022 e associandoli al punteggio calcolato dal Common Vulnerability Scoring System (CVSS). Il dataset analizzato conteneva 43.996 record CVE.

Il team CWE, come ogni anno, ha applicato una formula per poter assegnare un punteggio a ogni vulnerabilità, basandosi sulla gravità e sulla prevalenza. Le debolezze presenti nella lista sono considerate estremamente pericolose: un attaccante in grado di sfruttarle può ottenere il controllo dei sistemi, sottrarre dati sensibili o alterare il corretto funzionamento delle applicazioni.

Al primo posto della lista troviamo la Out-of-bounds Write: i software colpiti da questa vulnerabilità permettono la scrittura oltre i limiti del buffer predisposto. Spesso viene identificata anche come “Memory Corruption”; come suggerisce il termine, questa debolezza può portare alla corruzione di dati del sistema, al crash di applicazioni o a esecuzione non prevista di codice.

Al secondo posto c’è il Cross-site Scripting e a seguire, al terzo posto, la SQL Injection.

Credits: Pixabay

La Use After Free, presente anche nelle edizioni precedenti della lista, è salita di posizione e ora viene considerata la 7° debolezza software più pericolosa. Si tratta di una vulnerabilità che permette di referenziare una parte di memoria dopo che è stata deallocata, causando il crash di un programma o l’esecuzione di codice arbitrario.

Sale in classifica anche la Missing Authorization, una debolezza che si verifica se un software non esegue il controllo delle autorizzazioni quando un utente accede a una risorsa o esegue un’azione.

Quest’anno la lista ha due new entry: l’Improper Privilege Management e l’Incorrect Authorization. In entrambi i casi si tratta di un errore nei controlli di autenticazione di un utente: nel primo caso il software non è in grado di assegnare, modificare o controllare correttamente i permessi di un utente del sistema; nel secondo caso, quando un utente accede a una risorsa vengono eseguiti dei controlli errati che gli permettono di bypassare le restrizioni imposte.

Fuori dalla Top 25, invece, l’Improper Restriction of XML External Entity Reference: il software colpito dalla vulnerabilità, nel processare un documento XML, non applica le restrizioni previste per la risoluzione di URI che si riferiscono a documenti al di fuori del controllo del sistema.

Condividi l'articolo