MITRE、危険な脆弱性タイプのトップ25を発表

動きが目立った脆弱性タイプとしては、「OSコマンドインジェクション」が前回10位から5位へとランクを上げた。8位の「パストラバーサル（CWE-22）」も4ランク、「危険なタイプのファイルの無制限アップロード（CWE-434）」も5ランクの上昇となっている。

また11位の「重要な機能に対する認証欠如の問題（CWE-306）」は、前回24位から大幅なランクアップとなった。

MITREでは、圏外の脆弱性タイプについてもあわせて公表しており、40位までのランキングは以下のとおり。

第1位：Out-of-bounds Write（CWE-787）
第2位：Cross-site Scripting（CWE-79）
第3位：Out-of-bounds Read（CWE-125）
第4位：Improper Input Validation（CWE-20）
第5位：OS Command Injection（CWE-78）
第6位：SQL Injection（CWE-89）
第7位：Use After Free（CWE-416）
第8位：Path Traversal（CWE-22）
第9位：Cross-Site Request Forgery（CWE-352）
第10位：Unrestricted Upload of File with Dangerous Type（CWE-434）
第11位：Missing Authentication for Critical Function（CWE-306）
第12位：Integer Overflow or Wraparound（CWE-190）
第13位：Deserialization of Untrusted Data（CWE-502）
第14位：Improper Authentication（CWE-287）
第15位：NULL Pointer Dereference（CWE-476）
第16位：Use of Hard-coded Credentials（CWE-798）
第17位：Improper Restriction of Operations within the Bounds of a Memory Buffer（CWE-119）
第18位：Missing Authorization（CWE-862）
第19位：Incorrect Default Permissions（CWE-276）
第20位：Exposure of Sensitive Information to an Unauthorized Actor（CWE-200）
第21位：Insufficiently Protected Credentials（CWE-522）
第22位：Incorrect Permission Assignment for Critical Resource（CWE-732）
第23位：Improper Restriction of XML External Entity Reference（CWE-611）
第24位：Server-Side Request Forgery（CWE-918）
第25位：Command Injection（CWE-77）
第26位：Improper Certificate Validation（CWE-295）
第27位：Uncontrolled Resource Consumption（CWE-400）
第28位：Code Injection（CWE-94）
第29位：Improper Privilege Management（CWE-269）
第30位：Expression Language Injection（CWE-917）
第31位：Link Following（CWE-59）
第32位：Missing Release of Memory after Effective Lifetime（CWE-401）
第33位：Race Condition（CWE-362）
第34位：Uncontrolled Search Path Element（CWE-427）
第35位：Cleartext Transmission of Sensitive Information（CWE-319）
第36位：Type Confusion（CWE-843）
第37位：Open Redirect（CWE-601）
第38位：Incorrect Authorization（CWE-863）
第39位：Insertion of Sensitive Information into Log File（CWE-532）
第40位：Allocation of Resources Without Limits or Throttling（CWE-770）

（Security NEXT - 2021/07/28 ） ツイート

PR

関連記事

Perl向け暗号ライブラリ「CryptX」に複数脆弱性
監視ソフト「IBM Tivoli Monitoring」にRCE脆弱性 - 早急に更新を
掲示板ツール「vBulletin」に深刻な脆弱性 - 実証コードや悪用も
ZohoのExchange監視ツールに深刻な脆弱性 - アップデートを
「Wazuh」や「Windows WEBDAV」の脆弱性悪用に注意
「Firefox」に脆弱性、アップデートを公開 - 「クリティカル」との評価も
「Adobe Commerce」に緊急対応必要な脆弱性 - 「Magento」も注意
Adobe、複数製品にアップデート - 250件以上の脆弱性を解消
Pythonの「tarfile」モジュールに脆弱性 - クリティカルも
「M365 Copilot」に情報漏洩の深刻な脆弱性 - すでに修正済み