MITRE、危険な脆弱性タイプのトップ25を発表

動きが目立った脆弱性タイプとしては、「OSコマンドインジェクション」が前回10位から5位へとランクを上げた。8位の「パストラバーサル（CWE-22）」も4ランク、「危険なタイプのファイルの無制限アップロード（CWE-434）」も5ランクの上昇となっている。

また11位の「重要な機能に対する認証欠如の問題（CWE-306）」は、前回24位から大幅なランクアップとなった。

MITREでは、圏外の脆弱性タイプについてもあわせて公表しており、40位までのランキングは以下のとおり。

第1位：Out-of-bounds Write（CWE-787）
第2位：Cross-site Scripting（CWE-79）
第3位：Out-of-bounds Read（CWE-125）
第4位：Improper Input Validation（CWE-20）
第5位：OS Command Injection（CWE-78）
第6位：SQL Injection（CWE-89）
第7位：Use After Free（CWE-416）
第8位：Path Traversal（CWE-22）
第9位：Cross-Site Request Forgery（CWE-352）
第10位：Unrestricted Upload of File with Dangerous Type（CWE-434）
第11位：Missing Authentication for Critical Function（CWE-306）
第12位：Integer Overflow or Wraparound（CWE-190）
第13位：Deserialization of Untrusted Data（CWE-502）
第14位：Improper Authentication（CWE-287）
第15位：NULL Pointer Dereference（CWE-476）
第16位：Use of Hard-coded Credentials（CWE-798）
第17位：Improper Restriction of Operations within the Bounds of a Memory Buffer（CWE-119）
第18位：Missing Authorization（CWE-862）
第19位：Incorrect Default Permissions（CWE-276）
第20位：Exposure of Sensitive Information to an Unauthorized Actor（CWE-200）
第21位：Insufficiently Protected Credentials（CWE-522）
第22位：Incorrect Permission Assignment for Critical Resource（CWE-732）
第23位：Improper Restriction of XML External Entity Reference（CWE-611）
第24位：Server-Side Request Forgery（CWE-918）
第25位：Command Injection（CWE-77）
第26位：Improper Certificate Validation（CWE-295）
第27位：Uncontrolled Resource Consumption（CWE-400）
第28位：Code Injection（CWE-94）
第29位：Improper Privilege Management（CWE-269）
第30位：Expression Language Injection（CWE-917）
第31位：Link Following（CWE-59）
第32位：Missing Release of Memory after Effective Lifetime（CWE-401）
第33位：Race Condition（CWE-362）
第34位：Uncontrolled Search Path Element（CWE-427）
第35位：Cleartext Transmission of Sensitive Information（CWE-319）
第36位：Type Confusion（CWE-843）
第37位：Open Redirect（CWE-601）
第38位：Incorrect Authorization（CWE-863）
第39位：Insertion of Sensitive Information into Log File（CWE-532）
第40位：Allocation of Resources Without Limits or Throttling（CWE-770）

（Security NEXT - 2021/07/28 ） ツイート

PR

関連記事

iOS向けLINEアプリの「金融系モジュール」に脆弱性 - アップデートで修正済み
WP向け操作ログ記録プラグインにSQLi脆弱性 - パッチ未提供
「Node.js」向けMySQLクライアントにRCE脆弱性
「PuTTY」に脆弱性、「WinSCP」「FileZilla」なども影響 - 対象の旧鍵ペアは無効化を
Ivanti製モバイル管理製品「Avalanche」に深刻な脆弱性 - 一部PoCが公開済み
サードパーティ製ソフトに起因する脆弱性7件を修正 - Atlassian
「MS Edge 124」がリリース、脆弱性17件を修正
「PAN-OS」脆弱性への攻撃、国内でも被害報告
「ClamAV」にクリティカルパッチ - サービス拒否の脆弱性など修正
「PAN-OS」のアップデートが公開 - 旧版にも順次提供予定