۲۵ آسیب‌پذیری برتر CWE و برترین آسیب‌پذیری‌های مورد بهره‌برداری معمول

در حالی که من در تعطیلات بودم، MITER 25 مورد از خطرناک ترین نقص های نرم افزاری را برای سال 2024 به روز کرد و CISA&Co بهترین آسیب پذیری های مورد سوء استفاده منظم را برای سال 2023 معرفی کرد .

25 top CWE 2024
در مقایسه با سال 2023 تغییرات زیادی در نقص های برتر نرم افزار وجود دارد. اول از همه، این ممکن است به دلیل تغییر در روش تجزیه و تحلیل باشد. در عین حال، نویسندگان تاکید می‌کنند که مشکلات پر کردن پایگاه داده NVD و خطاها در تعیین نقص نهایی CWE که باعث آسیب‌پذیری شده است، ممکن است بر دقت بالای ارائه شده تأثیر بگذارد، اما "به احتمال زیاد، همه چیز در حد خطای قابل قبول است."😅
می‌توانید در مورد نتیجه‌گیری‌های اصلی اینجا بیشتر بخوانید، و همچنین به شما توصیه می‌کنم به تحلیل‌های مشابهی از شرکت DogeSec نگاه کنید، که آنها در پایان اکتبر انجام دادند (بالای آنها در صفحه دوم است) - تفاوت‌هایی با top MITER وجود دارد. ، اما قابل توجه نیست.
برای خودم، وارد شدن به نقص‌های اصلی «افشای اطلاعات محرمانه به افراد غیرمجاز» (CWE-200) و «مصرف کنترل‌نشده منابع» (CWE-400) را برجسته کردم، که به ترتیب می‌تواند منجر به نشت و حملات DoS شود.😑

برترین آسیب پذیری های 2023 که به طور معمول مورد سوء استفاده قرار گرفته اند
این بار آسیب‌پذیری‌هایی که به‌طور منظم/«هر روزه» مورد سوء استفاده قرار می‌گیرند شامل 15+32 آسیب‌پذیری است.
چیزهای جالب:
➡️ در میان 15 مورد برتر تنها یک آسیب پذیری در نرم افزار منبع باز (log4j) یافت می شود.
ما نباید در اینجا نتیجه بگیریم که نرم افزار منبع باز امن تر است، بلکه شرکت های ثروتمندی که از نرم افزار و سخت افزار اختصاصی استفاده می کنند بیشتر مورد حمله قرار می گیرند.
در عین حال، وجود یک آسیب‌پذیری 2021 در بالای 2023 نیز نشان می‌دهد که بسیاری از سازمان‌ها هنوز نسخه لو رفتن log4j را دارند و در به‌روزرسانی وابستگی‌ها مشکل دارند.🥲
-> یک سوم آسیب‌پذیری‌ها کد بهره‌برداری عمومی (در MetaSploit/Nuclei) ندارند.
-> بیش از یک سوم آسیب‌پذیری‌های برتر، آسیب‌پذیری‌های تجهیزات شبکه است.
اطلاعات دقیق در مورد آسیب پذیری های برتر را می توان در این مخزن یافت.

#vm #cve #mitre #cisa #cwe #vulnerability
@PfkSecurity