MITRE公布这两年全球最危险的25种软件安全缺陷

管理包括资安在内等多个研发中心的美国非营利组织MITRE，在本周公布了这两年最危险的25种软件安全缺陷（Common Weakness Enumeration，CWE），占据第一名的是可能衍生出各种跨站程式攻击（Cross-site scripting，XSS）的CWE-79。

CWE全名为通用缺陷列表，是由MITRE负责管理的National Cybersecurity FFRDC所赞助的专案，它把各种软件漏洞分门别类，总计提供逾600种分类，与业者修补漏洞时所使用的“常见漏洞披露”（Common Vulnerabilities and Exposures，CVE）不同，CVE指的是软件中的具体漏洞，而非只是分类。

其实CWE专案去年也曾发布2019年最危险的25种软件缺陷，今年前25名的差异并不大，只是名次有些异动，MITRE说明，这是因为今年他们突显了更具体的安全缺陷，使得那些较为抽象的漏洞类型排名下滑。此外，这些漏洞的排名主要是根据它们是否很容易被发现与攻陷，以及是否允许骇客完全掌控系统、窃取资料或阻止应用程序运作而定。

今年所列出的前五名最危险漏洞类别中，第一名为CWE-79，它肇因于在网页生成的过程中，出现不当的中和输入（Improper Neutralization of Input During Web Page Generation），而可能衍生出各种跨站程式攻击，它在去年仅排名第二。

第二名则是CWE-787的越界写入（Out-of-bounds Write）缺陷，指的是软件会在预期的缓冲区之外写入资料，一般可造成资料损毁、当掉，或是允许程式执行。CWE-787在去年的排名是第12。

第三名为CWE-20的不适当输入验证（Improper Input Validation），意指产品所接收到的输入资料未经验证，或是不适当地验证了含有不安全内容的输入资料。CWE-20与去年的排名一致。

第四名为CWE-125的越界读取（Out-of-bounds Read）缺陷，亦即允许软件读取缓冲区以外的资料，通常可允许骇客读取存放在内存中的机密资讯或是造成系统当掉。它在去年排名第五名，今年上升了一名。

第五名则是CWE-119，属于内存缓冲区内不当的操作限制，这是因为特定语言容许直接取得内存区域，但并未自动确保这些内存缓冲区是有效的，可能造成在这些区域中的读写操作牵连到其它的变数、资料结构或内部程序资料，使得读写行为超越缓冲区界线，而让骇客得以执行任意程式、变更控制流程、读取机密资讯或导致系统当机。CWE-119是去年的第一名。

MITRE表示，2020 CWE Top 25是参考了2018年与2019年的美国国家漏洞数据库（NVD），分析2.7万个CVEs的特性与CVSS（常见漏洞评分系统）分数而成，以期客观地了解现实世界中真正存在的软件缺失，将让专案管理员、安全研究人员或教育人员得以一窥当前的资安景况。