Danh sách 25 lỗ hổng phần mềm nguy hiểm năm 2023 do MITRE công bố

Danh sách gồm 25 lỗ hổng phần mềm được coi là nguy hiểm và phổ biến nhất. Nhiều trong số chúng dễ dàng bị khai thác bởi các tội phạm mạng để xâm nhập trái phép, đánh cắp thông tin hoặc gây sự cố cho các hệ thống và ứng dụng.

Cảnh báo mới nhất từ Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Mỹ (CISA), tổ chức thuộc Bộ An ninh Nội địa phụ trách vấn đề an ninh mạng và bảo mật cơ sở hạ tầng quan trọng, đã cập nhật thông tin về 25 điểm yếu bảo mật nguy hiểm nhất trong các sản phẩm phần mềm.

Theo MITRE Corporation, đại diện cho CISA và DHS, các lỗ hổng phần mềm phổ biến và ảnh hưởng nhất trong danh sách Top 25 của CWE thường rất dễ tìm và khai thác.

Trong năm 2023, lỗ hổng Out-of-bounds Write (CWE-787) tiếp tục giữ vị trí đầu tiên trong danh sách lỗ hổng nguy hiểm và phổ biến nhất trong phần mềm, có khả năng gây ra hỏng dữ liệu hoặc gây sự cố cho hệ thống, hoặc thực thi mã của kẻ tấn công.

Ở vị trí thứ hai là lỗ hổng Cross-site scripting (CWE-79), liên quan đến việc xử lý dữ liệu đầu vào không đúng trước khi trả kết quả trên trang web. Tin tặc có thể lợi dụng để chèn mã độc hại và thực hiện các hành động xâm nhập.

Lỗ hổng thứ ba là CWE-89, liên quan đến lỗi bảo mật SQL Injection, một dạng lỗi dữ liệu đầu vào khác. Danh sách hàng đầu của CWE dựa trên dữ liệu từ 43.996 bản ghi CVE về các lỗ hổng phát hiện từ năm 2021 đến 2022.

Vị trí thứ tư thuộc về lỗ hổng Use After Free (CWE-416), lỗ hổng ngày càng phổ biến liên quan đến việc sử dụng các địa chỉ bộ nhớ đã được giải phóng, có thể gây ra hành vi không phù hợp và thực hiện các hành động xâm nhập hoặc thực thi mã độc từ xa.

Nhiều lỗ hổng có thể gây ra tổn thất nghiêm trọng nếu bị tội phạm mạng phát hiện và tận dụng. Các điểm yếu này thường có thể được khắc phục bằng các bản vá bảo mật có sẵn. Việc áp dụng các bản vá bảo mật để khắc phục các lỗ hổng đã biết là một biện pháp quan trọng giúp bảo vệ mạng của các tổ chức khỏi các cuộc tấn công mạng.

Ngoài danh sách hàng đầu của CWE, MITRE dự kiến sẽ phát hành một loạt danh sách vào mùa hè này để trình bày chi tiết về cách thông tin này có thể được sử dụng hiệu quả hơn trong cộng đồng bảo mật.