MITRE опубликовала новый ежегодный список 25 самых опасных программных ошибок и уязвимостей 2023 CWE Top 25 Key Insights

Профильная организация MITRE опубликовала новый ежегодный список 25 самых опасных программных ошибок и уязвимостей 2023 CWE Top 25 Key Insights.

MITRE — это неком­мерчес­кая орга­низа­ция, которая работа­ет в США и управля­ет цен­тра­ми иссле­дова­ний и раз­работок на уров­не федераль­ного пра­витель­ства и мес­тно­го самоуправле­ния. В зону инте­ресов MITRE вхо­дят искусс­твен­ный интеллект, кван­товая информа­тика, информа­тика в области здра­воох­ранения, кос­мичес­кая безопас­ность, обмен дан­ными о киберуг­розах и средствах защиты и так далее. В сфе­ре информа­цион­ной безопас­ности кор­порация MITRE известна бла­года­ря спис­ку уязвимостей CVE (Common Vulnerabilities and Exposures, сайт cve.mitre.org). Это база обще­извес­тных уяз­вимос­тей, которая появи­лась в 1999 году и с тех пор ста­ла одним из основных ресур­сов, где ИБ-эксперты струк­туриру­ют и хра­нят дан­ные по багам и ошибкам в ПО.

Эксперты MITRE в конце июня выпустили очередной ежегодный список из топ-25 самых опасных программных уязвимостей CVE. Этот список основан на анализе общедоступных данных об уязвимостях в 43 996 записей CVE, каждой из которых была присвоена оценка в зависимости от распространённости и серьёзности.

В этом году в список MITRE вошли баги и проблемы в ПО, связанные с недостаточной проверкой входных данных, неправильным использованием API и управлением ресурсами, а также критические уязвимости, которые были там ранее, включая инъекции, неправильное управление памятью и недостаточная обработка ошибок.

Профильные эксперты пояснили, что список 2023 CWE Top 25 Key Insights основан на данных из различных источников, включая отчёты об уязвимостях, данные о вредоносном ПО и информации об атаках, а также учитывает мнение экспертов по безопасности. По их мнению, если расставлять приоритеты с целью избавить себя от большинства проблем и снизить вероятность взлома до 1%, то на него определённо стоить обратить внимание системным администраторам.