CWE4.8 -- 2022年危害最大的25种软件安全问题

已于 2022-07-31 12:31:41 修改
阅读量1k 收藏 4
点赞数
分类专栏： 信息泄露 静态检查 应用安全 文章标签： 安全 服务器 运维
于 2022-07-31 12:27:17 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/shendong70/article/details/126084222
版权

【摘要】CWE的危害最大的25种软件安全问题是安全从业人员、软件架构师、设计人员、开发人员、测试人员、用户、项目经理、安全研究人员, 以及教育工作者和标准组织等专业人员应对软件安全问题和降低软件安全风险的一种实用、方便的数据资源。我们来看下新版的《2022年危害最大的25种安全问题》在安全预防上会给了我们哪些安全提示。

1. CWE 4.8的变化

2022年过了一半了，继《CWE 4.7中的新视图 – 工业控制系统的安全漏洞类别》 发布还不到2个月， 6月底又出了一个版本 – CWE4.8。做为软件安全研究的重要标准，我们来看下这个版本有那些变化。

变化类型Version 4.7Version 4.8
弱点926927
分类351352
视图4748
废弃6262
汇总13861389

下面我们来的看下具体弱点的变动。

1.1. CWE-1386:Windows 连接点/挂载点上的不安全操作

这是个新增的Windows的问题，具体位置如下图：
./reference/CWE-1386.png

这个新弱点被划分在CWE-664(在生命周期中对资源的控制不恰当)下CWE-706(使用不正确的解析名称或索引), 以及CWE-59（在文件访问前对链接解析不恰当(链接跟随))下的一个子弱点。

在 Windows 中，NTFS5 允许文件系统可以对对象生成重解析点（reparse points）。

  • 连接点： 应用程序可以创建从一个目录到另一个目录的硬链接，称为连接点。
  • 挂载点： 创建从目录到驱动器号的映射，称为挂载点。

Windows文件或者目录可以包含一个重解析点，它是一个用户自定义数据的集合。储存它们的程序和解析处理这些数据文件的系统过滤器能识别这些数据的格式。 当一个应用程序设置了一个重解析点，它在保存数据时将添加一个唯一的重解析标签用于标示所存储的数据。当一个文件系统打开一个带重解析点的文件时，首先尝试寻找由重解析点所标识文件格式关联的文件系统过滤器，如果找到文件系统过滤器，过滤器处理重解析点数据所指示的文件。如果没有找到过滤器，那么打开文件的操作失败。

CWE-1386是由于windows打开一个文件或目录时，如果该文件或目录关联到一个目标控制范围之外的连接点或挂载点，则可能允许攻击者使软件读取、写入、删除或以其他方式对未经授权的文件进行操作。

如果一个文件被特权程序使用，它可以被一个敏感文件的硬链接替换（例如，AUTOEXEC.BAT），那么攻击者可以提升特权。当进程打开文件时，攻击者可以冒用该进程的特权，诱骗特权进程读取、修改或删除敏感文件，阻止程序准确处理数据，操作也可以指向注册表和信号量。

例如：CVE-2021-26426,特权服务允许攻击者使用目录连接删除未经授权的文件，从而导致以 SYSTEM 身份执行任意代码。

1.2. CWE-1388:物理访问问题

这是个硬件设计上新增的硬件分类，具体如下图。
./reference/CWE-1388.png

老样子，硬件问题不是我的专长，不做过多的解读。

2. CWE-1387:CWE Top 25 (2022)

距离2021年的《CWE发布2021年最危险的25种软件缺陷》差不多刚好一年。岁月如梭，光阴似箭，好快！又是一年荷花盛。

  • 今年的排行榜
排行CWE得分KEV Count (CVEs)变动
1CWE-787:跨界内存写64.2620
2CWE-79:在Web页面生成时对输入的转义处理不恰当(跨站脚本)45.9720
3CWE-89:SQL命令中使用的特殊元素转义处理不恰当(SQL注入)22.117./reference/triangle-green.png+3
4CWE-20:输入验证不恰当20.63200
5CWE-125:跨界内存读17.671./reference/triangle-red.png-2
6CWE-78:OS命令中使用的特殊元素转义处理不恰当(OS命令注入)17.5332./reference/triangle-red.png-1
7CWE-416:释放后使用15.5280
8CWE-22:对路径名的限制不恰当(路径遍历)14.08190
9CWE-352:跨站请求伪造(CSRF)11.5310
10CWE-434:危险类型文件的不加限制上传9.5660
11CWE-476:空指针解引用7.150./reference/triangle-green.png+4
12CWE-502:不可信数据的反序列化6.687./reference/triangle-green.png+1
13CWE-190:整数溢出或超界折返6.532./reference/triangle-red.png-1
14CWE-287:认证机制不恰当6.3540
15CWE-798:使用硬编码的凭证5.660./reference/triangle-green.png+1
16CWE-862:授权机制缺失5.531./reference/triangle-green.png+2
17CWE-77:在命令中使用的特殊元素转义处理不恰当(命令注入)5.425./reference/triangle-green.png+8
18CWE-306:关键功能的认证机制缺失5.156./reference/triangle-red.png-7
19CWE-119:内存缓冲区边界内操作的限制不恰当4.856./reference/triangle-red.png-2
20CWE-276:缺省权限不正确4.840./reference/triangle-red.png-1
21CWE-918:服务端请求伪造(SSRF)4.278./reference/triangle-green.png+3
22CWE-362:使用共享资源的并发执行不恰当同步问题(竞争条件)3.576./reference/triangle-green.png+11
23CWE-400:未加控制的资源消耗(资源耗尽)3.562./reference/triangle-green.png+4
24CWE-611:XML外部实体引用的不恰当限制(XXE)3.380./reference/triangle-red.png-1
25CWE-94:对生成代码的控制不恰当(代码注入)3.324./reference/triangle-green.png+3

这个排名是CWE的团队，依据美国国家标准与技术研究院 (National Institute of Standards and Technology(NIST))的 国家漏洞库(National Vulnerability Database(NVD)) 记录的披露漏洞(Common Vulnerabilities and Exposures(CVE)), 以及网络安全和基础设施安全局 (Cybersecurity and Infrastructure Security Agency(CISA))的已知披露漏洞目录(Known Exploited Vulnerabilities (KEV)), 通过通用缺陷评分系统(Common Vulnerability Scoring System (CVSS))对每个缺陷进行评分。排名统计了2020 到2021年的37,899 个CVE，每个CVE根据问题的发生率和严重程度的一个公式计算得分，最终得到问题的排名。

2.1. 排名变动情况

  • 具体变动如下图：
    ./reference/top25-rank-change-2021-2022.png

  • 上升最快的名单:

    • CWE-362：使用共享资源的并发执行不恰当同步问题(竞争条件): 从 33 上升到 22;
    • CWE-94：对生成代码的控制不恰当(代码注入): 从 28 上升到 25;
    • CWE-400：未加控制的资源消耗(资源穷尽): 从 27 上升到 23;
    • CWE-77:在命令中使用的特殊元素转义处理不恰当(命令注入)): 从25 上升到 17;
    • CWE-476:空指针解引用: 从 15 上升到 11。

  • 下降最快的名单:

    • CWE-306:关键功能的认证机制缺失: 从 11 下降到 18;
    • CWE-200:信息泄露: 从 20 下降到 33;
    • CWE-522:不充分的凭证保护机制: 从 21 下降到 38;
    • CWE-732:关键资源的不正确权限授予: 从 22 下降到 30。

  • 新进前25的有:

    • CWE-362：使用共享资源的并发执行不恰当同步问题(竞争条件): 从 33 上升到 22;
    • CWE-94：对生成代码的控制不恰当(代码注入): 从 28 上升到 25;
    • CWE-400：未加控制的资源消耗(资源穷尽): 从 27 上升到 23;

  • 跌出前25的有:

    • CWE-200:信息泄露: 从 20 下降到 33;
    • CWE-522:不充分的凭证保护机制: 从 21 下降到 38;
    • CWE-732:关键资源的不正确权限授予: 从 22 下降到 30。

2.2. TOP 25的记分明细

排名CWENVD计数Avg CVSS总分
1CWE-787:跨界内存写41237.9364.2
2CWE-79:在Web页面生成时对输入的转义处理不恰当(跨站脚本)47405.7345.97
3CWE-89:SQL命令中使用的特殊元素转义处理不恰当(SQL注入)12638.6622.11
4CWE-20:输入验证不恰当15207.1920.63
5CWE-125:跨界内存读14896.5417.67
6CWE-78:OS命令中使用的特殊元素转义处理不恰当(OS命令注入)9998.6717.53
7CWE-416:释放后使用10217.7915.5
8CWE-22:对路径名的限制不恰当(路径遍历)10107.3214.08
9CWE-352:跨站请求伪造(CSRF)8477.211.53
10CWE-434:危险类型文件的不加限制上传5518.619.56
11CWE-476:空指针解引用6116.497.15
12CWE-502:不可信数据的反序列化3788.736.68
13CWE-190:整数溢出或超界折返4527.526.53
14CWE-287:认证机制不恰当4127.886.35
15CWE-798:使用硬编码的凭证3338.485.66
16CWE-862:授权机制缺失4686.535.53
17CWE-77:在命令中使用的特殊元素转义处理不恰当(命令注入)3258.365.42
18CWE-306:关键功能的认证机制缺失32885.15
19CWE-119:内存缓冲区边界内操作的限制不恰当3237.734.85
20CWE-276:缺省权限不正确3687.044.84
21CWE-918:服务端请求伪造(SSRF)3177.164.27
22CWE-362:使用共享资源的并发执行不恰当同步问题(竞争条件)3016.563.57
23CWE-400:未加控制的资源消耗(资源耗尽)2776.933.56
24CWE-611:XML外部实体引用的不恰当限制(XXE)2327.583.38
25CWE-94:对生成代码的控制不恰当(代码注入)1928.63.32

2.3. 排名统计的改进

为了更好的让人们明白每一个缺陷的特性，在缺陷的映射上，尽量映射到更细力度的缺陷枚举类型上，比如base、Variant、Compound，这样有利于从更细粒度上解决问题。所以TOP 25中的CWE的类型正逐步从支柱(pillar)、类（Class) 向更细力度的缺陷枚举类型base、Variant、Compound上过度。

比如：

  • Class/Pillar 从2020年的36%，降到现在的28%；
  • Class 从2019年的43%，降到现在的16%；
  • Base/Var/Comp 从2019年的 57%上升到84%；
  • 对应到base类型的问题，从2019年的 50% 提升到现在的 76%。
Year2019%2020%2021%2022%
Unique Class/Pillar CWEs728%936%832%728%
Unique Base/Variant/Compound CWEs1872%1664%1768%1872%
Mappings to Class954843%645030%305817%362616%
Mappings to Base/Var/Comp1241157%1477270%1483983%1925484%
Total Maps with Top 25 CWEs219590%212220%178970%228800%
Maps to All CWEs263410%271680%242820%306810%
Maps to Bases1091950%1298861%1329174%1738676%
Maps to Variants7994%9184%8075%10214%
Maps to Compounds6933%8664%7414%8474%

3. 结论

  • 前十位的缺陷变动不大，主要还是内存读写造成的缓冲区溢出，以及外部输入校验所带来的各种注入问题；
  • 内存安全问题是C语言指针的灵活性给我们带来的后遗症，也一直是困扰我们的主要安全问题。现在安全性已经成为软件开发的重要需求。新兴的Rust语言是否能够给在内存管理方面带来较大的改善，还需要时间的证明；或者在内存安全和编程灵活性的平衡上，寻找一种更容易被广大开发者接受的新语言；
  • 外部输入引发的各种注入类问题，在今后相当长的一段时间会长期伴随者我们。零信任、供应链安全框架的提出，虽然在安全概念和设计指导上达到了一个新的高度，但在软件应用落地时，还取决于广大的开发人员对安全意识的逐步提高，从而在代码中有效的执行各种对外部输入的有效的检测，以及各种凭证的有效验证。当然凭证的校验可以通过使用安全模块来进一步降低开发中的安全风险；
  • 在TOP 25的数据统计上，CWE在尽量将各种软件问题归结到更细力度的问题分类上。通过这些年新版本的快速发布，已经增加了相当多的细分类型(Base/Variant/Compound)。 从2017年3.0的714个增加到了现在4.8版本的927个，增加了将近30%。这也说明我们对问题的认知程度在细化和加深，这更加有利于我们在安全防范中，采取更精细的检查和更具针对性的防范措施，从而降低安全防御的成本。

4. 参考

Old Uncle Tom
关注
  • 0
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
CWE-287
m0_37607945的博客
12-20 462
这种漏洞出现在应用程序的身份验证机制中，如果设计或实现不当，攻击者可能能够绕过正常的认证过程，未经授权就能访问或者操作系统的资源。同时，持续关注相关的安全更新和最佳实践，以保持应用程序的安全性。对所有用户提供的身份验证相关输入进行严格的验证和清理，确保它们不包含任何可能被用于绕过身份验证的特殊字符或序列。在处理身份验证请求时，适当地处理可能出现的错误和异常，避免由于意外的数据解析错误导致的安全问题。提高开发人员对身份验证安全风险的认识，鼓励他们遵循最佳实践，并在必要时寻求安全专家的建议。
应用软件漏洞排名
m0_74079109的博客
10-27 348
随着计算机网络技术的发展，全球互联网体量急速膨胀，网络安全形势日益严峻，国家政治、经济、 文化、社会及公民在网络空间的合法权益面临严峻挑战。近些年来安全漏洞数量呈现递增趋势，基于漏 洞的网络安全事件层出不穷，为我们敲响了信息安全攻防战的警钟。软件由于开发及设计等各方面的原因，存在漏洞在所难免。对安全研究人员来说，通过对漏洞发展 趋势的研究，可以在攻击者利用漏洞造成危害之前，提出及时有效的修补方案，尽可能的减少攻击事件 的发生。
【已解决】immer_project immer 动态确定对象属性修改的控制不恰当
IT学习社
09-07 1362
漏洞编号：CVE-2021-3757风险等级：高危涉及软件：kernel : xxxxxx解决方案：建议您更新当前系统或软件至最新版，完成漏洞的修复。
CWE TOP 25威胁
weixin_43500506的博客
03-11 3213
CWE TOP 25 Top-1 CWE-119 缓冲区错误 软件在内存缓冲区上执行操作，但是它可以读取或写入缓冲区的预定边界以外的内存位置。 某些语言允许直接访问内存地址，但是不能自动确认这些内存地址是有效的内存缓冲区。这可能导致在与其他变量、数据结构或内部程序数据相关联的内存位置上执行读/写操作。 危害如下： 机密性、完整性和可用性。攻击者可能执行任意代码、修改预定的控制流、读取敏感信息或导致系统崩溃。 如何防范： 1.编写代码时注意越界问题 2.设置检测关卡监视内存使用情况 Top-2 CWE-79
CWE-611
m0_37607945的博客
12-20 402
这种漏洞出现在应用程序接受用户提供的URL作为重定向参数，并在未经充分验证的情况下直接将用户重定向到该URL时。通过实施上述措施，可以有效地防止CWE-611漏洞，并保护你的Web应用程序免受开放重定向攻击的影响。在执行重定向操作之前，对用户提供的URL进行严格的验证和清理，确保它们仅指向可信的、预期的域名。在处理重定向请求时，适当地处理可能出现的错误和异常，避免由于意外的数据解析错误导致的安全问题。对用户提供的重定向URL的长度进行合理的限制，以防止某些大型的、复杂的攻击。
cwe-tool:基于常见弱点枚举的OWASP CAPSEC数据库的命令行CWE发现工具
05-23
安装可通过Node.js工具执行如果您具有Node.js环境，则可以使用cwe-tool调用cwe-tool tool，如下所示： npx cwe-tool [...command-line options...]码头工人从Docker Hub提取图像docker pull lirantal/cwe-tooldocker...
CWE-checker分析.pptx
10-24
CWE Checker通常会扫描二进制文件，查找与CWE中描述的...它可以帮助开发人员发现潜在的安全问题，并提供建议或建议修复方案，以改进软件的安全性。 项目地址： https://github.com/fkie-cad/cwe_checker BLACK_HAT_2022
Portcullis CWE Search-crx插件
04-04
此扩展为常见的弱点枚举（CWE）数据库提供快速搜索功能。 此扩展为常见的弱点枚举（CWE）数据库提供快速搜索功能。 使用此扩展，Portcullis测试团队能够使用正则表达式和/或密钥字来搜索完整的CWE字典，以快速识别最...
安全测试漏扫工具-HCL AppScan-10.5.0(28368)-2024年4月-下载
最新发布
04-12
已自测安装可用。 # 安装方法 首次安装好后，不要运行程序的情况下： 只需要将“补丁”中两个dll文件，放到安装后的软件的根...CWE 2023 年 25 个最危险的软件弱点 支付卡行业数据安全标准 (PCI DSS) - V4 ### 修复和
cwe-sdk-[removed]符合MITER CAPEC的通用弱点枚举（CWE）Node.js SDK
05-08
cwe-sdk 符合MITER / CAPEC的通用弱点枚举（CWE）Node.js SDK 安装 yarn add cwe-sdk 用法 需要CweManager类并使用其方法 const { CweManager } = require ( 'cwe-sdk' ) 例子 const { CweManager } = require ( '...
CWE学习（一）
qq_44370676的博客
04-28 4191
CWECWE-20: Improper Input Validation示例代码1示例代码2CWE-22: Improper Limitation of a Pathname to a Restricted Directory示例代码1CWE-78: Improper Neutralization of Special Elements used in an OS Command示例代码1CWE-119: Improper Restriction of Operations within the Bound
错误5拒绝访问_三菱电机之CVSS v3 7.5 & CVSS v3 9.8
weixin_39623050的博客
12-06 201
1. 概要CVSS v37.5 ：对XML外部实体引用的不当限制和不受控制的资源消耗。CVSS v3 9.8 ：内存缓冲区范围内的操作限制不当，会话固定，空指针取消引用，访问控制不当，参数注入，资源管理错误。设备：工厂自动化工程软件产品、GOT2000系列。CVSS v3 7.5风险：利用这些漏洞可能使本地攻击者可以将文件发送到系统外部，并导致拒绝服务的状况。CVSS v3 9.8风...
物联网漏洞分类总结
Chary的Blog
07-12 3744
一、物联网漏洞分类 二、造成漏洞的原因 1 不安全的Web接口 一般情况下，攻击者首先会在智能设备的Web接口中寻找XSS、CSRF和SQLi漏洞。此外，这些接口中还经常出现“默认用户名和密码”和“缺乏帐户锁定机制”之类的漏洞。 设备类型 设备名称 CWE 安全影响 Heatmiser恒温器 CWE-598：通过GET请求中的查询字符串泄露信息 攻击者可以访问设备的所有设置，进而根据攻击者的意愿来随意更改各种设置，例如时间或温度。 工业无线接入点Moxa AP CWE-79：网页生成过程中没有对输入进行严
漏洞发展趋势摘要
m0_73803866的博客
10-27 524
随着计算机网络技术的发展，全球互联网体量急速膨胀，网络安全形势日益严峻，国家政治、经济、 文化、社会及公民在网络空间的合法权益面临严峻挑战。近些年来安全漏洞数量呈现递增趋势，基于漏 洞的网络安全事件层出不穷，为我们敲响了信息安全攻防战的警钟。软件由于开发及设计等各方面的原因，存在漏洞在所难免。对安全研究人员来说，通过对漏洞发展 趋势的研究，可以在攻击者利用漏洞造成危害之前，提出及时有效的修补方案，尽可能的减少攻击事件 的发生。
安全漏洞分类之CNNVD漏洞分类指南
明光札记
11-30 5157
凡是被国家信息安全漏洞库（CNNVD）收录的漏洞，均适用此分类规范，包括采集的公开漏洞以及收录的未公开漏洞，通用型漏洞及事件型漏洞。CNNVD将信息安全漏洞划分为26种类型，分别是：配置错误、代码问题、资源管理错误、数字错误、信息泄露、竞争条件、输入验证、缓冲区错误、格式化字符串、跨站脚本、路径遍历、后置链接、SQL注入、注入、代码注入、命令注入、操作系统命令注入、安全特征问题、授权问题、信任管理、加密问题、未充分验证数据可靠性、跨站请求伪造、权限许可和访问控制、访问控制错误、资料不足。
CWE通用缺陷对照表记录
weixin_45513192的博客
10-14 4774
CWE通用缺陷对照表记录 CWE-1 : Location CWE-113 : Improper Neutralization of CRLF Sequences in HTTP Headers (‘HTTP Response Splitting’) CWE-116 : Improper Encoding or Escaping of Output CWE-118 : Improper Access of Indexable Resource (‘Range Error’) CWE-119 : Buffer
6个测试技巧帮你实现软件质量和安全双赢
Pokemogo的博客
01-25 259
我在LinkedIn上看到一个帖子，有人问几个静态分析安全厂商的区别。有一个人不出所料地回答说，他们的解决方案比较好，因为当其他公司注重质量和安全时，他们在严格地执行安全。 当然，这句话很可笑。而这种想法也许正说明了目前业界应用安全问题的猖獗；例如，那些试图将安全小组与SDLC的其他部分（包括开发和测试工作）完全分开运行的组织。在这种模式下，安全小组运行自己的测试，主要是试图破坏软件，然后将安全错误反馈给开发团队。换句话说，试图在他们的代码中测试安全。我可以向你保证，这并不比在你的代码中测试质量更有效..
CWE-通用弱点枚举简介
plstudio1的博客
03-19 3948
对于软件来说，安全是航空、航天、军工、电力、金融等关键行业极为重视的特性之一。因此，保证软件尽量安全是软件研发人员的重要责任。可以说，软件安全漏洞是软件研发者的一大死敌。古语有云：知彼知己，百战不殆。要想取得战争的胜利，就要尽可能充分认识软件安全漏洞。CWE就是认识它们的一个窗口。从今天开始，我通过把CWE中的内容逐步翻译出来，同大家一起认识和了解软件漏洞，进而找到制服它们的方法。 CWE是社区...
CWE给年轻人的25条建议
tracy_cui的专栏
06-26 521
时隔8年，CWE发布了25条最危险的软件编码错误。值得D站的每一个人深度学习。 这25条建议是导致软件严重漏洞的最频繁和最关键的错误的汇编。攻击者通常可以利用这些漏洞来控制受影响的系统、获取敏感信息或导致拒绝服务的情况。 网络安全和基础设施安全机构 （CISA） 鼓励用户和管理员查看前 25 项列表，并评估建议的缓解措施，以确定最适合采用的缓解措施。 排名 CWE-ID CWE类型 CVE数量 占比
CWE-200漏洞浮现
08-30
CWE-200是指"信息暴露"（Information Exposure）的一种常见的软件安全漏洞。当某个系统或应用程序在处理敏感信息时，没有正确地保护或隐藏这些敏感信息，就可能导致信息暴露漏洞的出现。 这类漏洞可能会暴露用户的个人身份信息、登录凭据、敏感数据等，给攻击者提供了潜在的机会进行恶意行为，如身份盗用、数据泄露等。攻击者可以通过各种方式利用这些暴露的信息，甚至可能对系统进行进一步的攻击。 为了防止CWE-200漏洞的发生，开发人员应该采取以下一些措施： 1. 确保在处理敏感信息时使用适当的加密和保护机制。 2. 避免在错误消息中暴露敏感信息。 3. 使用适当的访问控制和权限管理机制，限制对敏感信息的访问。 4. 对输入数据进行正确的验证和过滤，防止攻击者利用输入来获取敏感信息。 5. 定期进行安全审计和漏洞扫描，及时发现并修复潜在的信息暴露漏洞。 如果你在开发或使用软件时遇到CWE-200漏洞问题，建议及时修复漏洞，确保用户的敏感信息得到合理的保护。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值