الصورة: Unsplashنشرت المنظمة الأمريكية MITER قائمة تضم 25 من أخطر نقاط الضعف في البرامج. قام الباحثون بتجميع جدول لأكثر المشاكل الأمنية خطورة والأكثر شيوعًا ، باستخدام معرفات CWE (التعداد الشائع للضعف).
حصلت أكبر 25 شركة على عدد كبير من الثغرات الأمنية التي تسمح للمهاجمين بالتحكم الكامل في برامج الكمبيوتر وتعطيلها وسرقة البيانات التي تمت معالجتها. تتيح القائمة لمهنيي أمن المعلومات فهم طبيعة التهديدات الأمنية بشكل أفضل ، ولكنها ستكون مفيدة أيضًا لمطوري البرامج واختبارها ومستخدمي منتجات البرمجيات.
منهجية البحث
لتجميع القائمة ، استخدم متخصصو MITER معلومات حول الثغرات الأمنية المنشورة (CVE ، نقاط الضعف العامة والتعرضات) ، ومعلومات عنهم من NVD (قاعدة بيانات الضعف الوطنية) ، و CVSS (نظام نقاط الضعف المشتركة). تم تطوير خوارزمية فريدة لتقييم مدى انتشار وشدة الثغرات الأمنية.
أعلى 3 نقاط الضعف الخطرة
وفقًا للتقرير ، فإن أخطر هذه المشكلات هي مشكلة عدم الحصانة التي يطلق عليها "قيود الاستخدام غير الصحيحة للعمليات داخل حدود ذاكرة مؤقتة". يحدث الخطأ عند تشغيل البرنامج داخل المخزن المؤقت للذاكرة المخصصة ، ولكن في نفس الوقت يحصل على القدرة على قراءة أو كتابة البيانات خارج حدود هذا المخزن المؤقت. يتيح استغلال هذه الثغرة الأمنية للمهاجمين تنفيذ تعليمات برمجية عشوائية وسرقة بيانات مهمة وتعطيل أنظمة البرامج تمامًا.
في المرتبة الثانية من حيث الخطر كان هناك ثغرة أمنية في الكود CWE-79 - "تحييد غير صحيح للمدخلات أثناء إنشاء صفحة الويب". تعد البرمجة النصية للمواقع المشتركة (XSS) اسمًا مألوفًا لها. تعد الثغرات الأمنية من هذا النوع شائعة وقد تؤدي إلى عواقب وخيمة بسبب التحكم غير الكافي في البيانات التي يدخلها المستخدمون على صفحات الموقع.
في المرتبة الثالثة ، هناك ثغرة أمنية غير صالحة للتحقق من صحة الإدخال (CWE-20). يمكن للمهاجم تقديم طلب ضار خاص وسيقوم النظام بالرد عليه من خلال توفير المزيد من الامتيازات أو الوصول إلى البيانات الهامة.
يوجد أدناه جدول كامل بأكثر الثغرات خطورة وفقًا لـ MITER.
التهديدات السيبرانية الأخرى ذات الصلة
ليس تصنيف MITER هو المصدر الوحيد للمعلومات حول التهديدات السيبرانية الحالية. قامت شركة Technologies Technologies
بنشر تقرير عن الهجمات على تطبيقات الويب عقب نتائج عام 2018. تضمنت الهجمات الثلاثة الأكثر شيوعًا على مواقع الويب SQL Injection و Path Traversal و Scripting عبر المواقع (XSS).
بالإضافة إلى ذلك ،
ينشر خبراء شركة Technologies Technologies تقارير تحليلية حول التهديدات الإلكترونية الحالية مرة واحدة كل ثلاثة أشهر. لذلك ، في الربع الثاني من عام 2019 ، استغل مجرمو الإنترنت بنشاط الثغرة الأمنية في خادم بريد Exim (CVE-2019-10149). يتم استخدام الخطأ بطرق مختلفة: يقوم بعض المهاجمين بتنزيل برنامج التعدين باستخدام cryptocurrency بمساعدة ، في حين يقوم آخرون بتنفيذ ما وراء البحار على خوادم البريد.