MITRE公布最危险软件漏洞TOP25榜单

发布于 作者:

MITRE公布最危险软件漏洞TOP25榜单

安小圈 2024-11-27 00:45

安小圈

第554期

【高危漏洞】TOP25

在快速变化的网络威胁环境中，漏洞始终是网络攻击的主要切入点。近日，美国网络安全组织MITRE更新了2024年CWE Top 25最危险软件漏洞榜单，汇总了2024年全球最常见、最具影响力的软件漏洞，为企业、开发者和安全研究人员提供重要参考。

什么是CWE Top 25？

CWE（Common Weakness Enumeration，公共弱点枚举）是一种标准化的安全漏洞分类方式，由MITRE主导开发。每年更新的CWE Top 25列表基于漏洞被利用的频率和严重性，反映了全球网络攻击的最新趋势。榜单旨在帮助企业和开发者识别并优先修复高危漏洞，从而降低被攻击的风险。

2024年CWE Top 25完整列表：

2024年榜单亮点

与往年相比，2024年的榜单展现了网络威胁趋势的显著变化：

1.跨站脚本（XSS）漏洞跃居榜首

从去年的第二位升至第一，XSS漏洞的高排名表明其依然是攻击者利用的主要目标。XSS允许攻击者注入恶意代码，从而窃取用户数据或劫持会话。

2.内存越界写入漏洞（Out-of-Bounds Write）下滑至第二位

尽管排名下降，内存越界写入仍是高危漏洞，常被用于执行任意代码或造成系统崩溃。

3.SQL注入（SQL Injection）稳居第三

SQL注入漏洞多年来居高不下，攻击者可通过未加验证的输入操纵数据库查询，导致数据泄露或破坏。

4.新兴漏洞趋势

  • 跨站请求伪造（CSRF）：排名提升五位至第八，表明攻击者更频繁利用用户未授权的请求。

  • 路径遍历（Path Traversal）：通过操控文件路径获取敏感信息，排名上升三位。

  • 敏感信息暴露（Exposure of Sensitive Information）：从去年的第30位跃升至第14位，显示数据隐私保护的重要性持续上升。

  • 非受控资源消耗（Uncontrolled Resource Consumption）：首次进入榜单，排名第24，表明拒绝服务攻击依然是网络威胁的重要形式。

5.从榜单中消失的漏洞

“不正确的默认权限（Incorrect Default Permissions）和“竞争条件（Race Condition）”已退出前25名，表明相关防护技术的进步。

如何应对TOP25漏洞？

网络安全机构和专家建议关注以下五大措施：

  • 采用“安全设计”理念：从软件开发阶段引入安全性，减少后期修复成本。

  • 漏洞优先级管理：将CWE Top 25漏洞列为修复重点，制定明确的时间表。

  • 加强开发者培训：提高开发人员的安全编码能力，减少漏洞引入的可能。

  • 持续监控和测试：利用动态和静态分析工具定期检查代码中的弱点。

  • 供应链安全：确保外包和第三方软件符合安全标准。

参考链接：

https://cwe.mitre.org/top25/archive/2024/2024_cwe_top25.html


【原文来源：GoUpSec】


–   预警！针对我国用户的“银狐”木马病毒出现新变种  

  • Windows 0-Day 漏洞-(CVSS 9.8) CVE-2024-43491


– 腾讯【微信】存在可能导致远程代码执行【漏洞】


– 微软披露：Office最新【零日漏洞】，可能导致数据泄露


– 【微软警告！】OpenVPN存在【漏洞】| 可能存在漏洞链


– 【爆！】堪比Windows蓝屏危机！| Linux被曝12年史诗级漏洞，“投毒者”是谷歌？


– 0.0.0.0 Day【漏洞】曝光 | 谷歌、Safari、火狐等主流浏览器面临威胁


– 核弹级【漏洞预警】Windows 远程桌面 | 授权服务远程代码执行漏洞(CVE-2024-38077)


– # 【0 day】阿里 NACOS 远程命令执行漏洞


– # 【盘点】最严重的39个硬件安全漏洞


– # 如何防护0-day漏洞攻击

  • 【风险提示】OpenSSH 远程代码执行漏洞（CVE-2024-6387）


– # 【漏洞预警】Apache HTTP Server 信息泄露漏洞


– # 红队视角！2024 | 国家级攻防演练100+必修高危漏洞合集(可下载)

  • 【干货】2024 攻防演练 · 期间 | 需关注的高危漏洞清单