Image: UnsplashL'organisation américaine MITRE a
publié une liste de 25 des vulnérabilités logicielles les plus dangereuses. Les chercheurs ont compilé un tableau des problèmes de sécurité les plus dangereux et les plus courants, avec les identificateurs CWE (Common Weakness Enumeration).
Le top 25 a un grand nombre de vulnérabilités qui permettent aux attaquants de prendre complètement le contrôle des programmes informatiques, de les désactiver et de voler les données qui y sont traitées. La liste permet aux professionnels de la sécurité de l'information de mieux comprendre le paysage des menaces de sécurité, mais sera également utile aux développeurs de logiciels, aux testeurs et aux utilisateurs de produits logiciels.
Méthodologie de recherche
Pour compiler la liste, les spécialistes de MITRE ont utilisé des informations sur les vulnérabilités publiées (CVE, Common Vulnerabilities and Exposures), des informations à leur sujet dans la base de données NVD (National Vulnerability Database), ainsi que des cotes de risque de vulnérabilité CVSS (Common Vulnerability Scoring System). Un algorithme unique a été développé pour évaluer la prévalence et la gravité des vulnérabilités.
Top 3 des vulnérabilités dangereuses
Selon le rapport, la plus dangereuse était une vulnérabilité appelée Improper Restriction of Operations within the Bounds of a Memory Buffer. L'erreur se produit lorsque le logiciel s'exécute à l'intérieur du tampon de mémoire alloué, mais obtient en même temps la possibilité de lire ou d'écrire des données en dehors des limites de ce tampon. L'exploitation de cette vulnérabilité permet aux attaquants d'exécuter du code arbitraire, de voler des données critiques et de désactiver complètement les systèmes logiciels.
En deuxième position en termes de danger, il y avait une vulnérabilité avec le code CWE-79 - "Neutralisation incorrecte des entrées lors de la génération de pages Web". Le cross-site scripting (XSS) est un nom plus familier pour cela. Les vulnérabilités de ce type sont courantes et peuvent entraîner de graves conséquences en raison d'un contrôle insuffisant des données que les utilisateurs saisissent sur les pages du site.
En troisième position se trouve la vulnérabilité Invalid Input Validation (CWE-20). Un attaquant peut faire une requête malveillante spéciale et le système y répondra en fournissant des privilèges ou un accès accrus aux données critiques.
Voici un tableau complet des vulnérabilités les plus dangereuses selon MITRE.
Autres cybermenaces pertinentes
La note MITRE n'est pas la seule source d'informations sur les cybermenaces actuelles. Positive Technologies a
publié un rapport sur les attaques contre les applications Web suite aux résultats de 2018. Les trois attaques les plus courantes contre les sites Web comprenaient l'injection SQL, la traversée de chemin et les scripts intersites (XSS).
De plus, les experts de Positive Technologies
publient une fois par trimestre des rapports analytiques sur les cybermenaces actuelles. Ainsi, au deuxième trimestre 2019, les cybercriminels ont activement exploité la vulnérabilité du serveur de messagerie Exim (CVE-2019-10149). L'erreur est utilisée de différentes manières: certains attaquants téléchargent un logiciel d'extraction de crypto-monnaie avec son aide, tandis que d'autres implémentent des portes dérobées sur des serveurs de messagerie.