Как стать автором
Обновить
319.34
PVS-Studio
Статический анализ кода для C, C++, C# и Java

CWE Top 25 2022. Обзор изменений

Время на прочтение8 мин
Количество просмотров5.7K

Список CWE Top 25 отражает наиболее серьёзные недостатки безопасности ПО. Предлагаю вам ознакомиться с обновлённым топом в обзоре изменений за прошедший год.


CWE_top_25_2022_ru



Мы позиционируем анализатор PVS‑Studio не только как средство для поиска ошибок в коде, но и как инструмент для статического тестирования защищённости приложений (Static Application Security Testing, сокр. SAST). Для лучшего понимания трендов и планирования диагностических правил нет ничего лучше, чем заглянуть в свежий список наиболее актуальных проблем безопасности. Таких списков несколько, например, OWASP Top 10, SANS Top 25, и уже названный ранее CWE Top 25.


Кстати, в прошлом году мы уже писали обзор изменений в CWE Top 25 2021. При желании с ним можно ознакомиться здесь.


Немного теории


Для лучшего понимания контекста не помешает освежить в памяти основные моменты. Для этого я кратко пробегусь по следующим темам:


  • чем CVE отличается от CWE;
  • зачем нужен CVSS;
  • что такое NVD и KEV;
  • как ранжируется CWE Top 25 в 2022 году.

Если вы чувствуете себя подкованным в этих вопросах, то можете спокойно пропустить этот раздел. Остальным рекомендую ознакомиться для удобства дальнейшего чтения. Далее довольно вольный перевод и интерпретация некоторых пунктов CWE FAQ и CVE FAQ:


Чем «дефект» (недостаток) отличается от уязвимости в ПО?


Дефекты (недостатки) – это ошибки, сбои и прочие проблемы реализации, проектирования или архитектуры программного обеспечения, которые могут привести к уязвимостям.


Уязвимости – уже найденные кем-то ошибки, которые могут быть напрямую использованы злоумышленниками для получения доступа к системе или сети, нарушения работы сервисов и так далее.


Что такое CWE, чем отличается от CVE, при чем тут CVSS и откуда взялся KEV?


  • CWE (Common Weakness Enumeration) – общий перечень дефектов (недостатков) безопасности.
  • CVE (Common Vulnerabilities and Exposures) – перечень уязвимостей, обнаруженных в программном обеспечении.
  • CVSS (Common Vulnerability Scoring System) – числовая оценка, показывающая потенциальную критичность уязвимости (CVE). Она основана на стандартизированном наборе характеристик.
  • KEV (Known Exploited Vulnerabilities) – каталог известных эксплуатируемых уязвимостей.

И зачем мне вообще знать про CWE?


Сегодня CWE используется как основное средство при обсуждении устранения и/или смягчения недостатков безопасности в архитектуре, дизайне, коде и реализации программного обеспечения. Организации используют CWE в качестве стандартной меры для оценки инструментов проверки безопасности ПО и в качестве общего базового стандарта для идентификации, предупреждения и смягчения негативных последствий.


CWE_top_25_2022_ru/image2.png


Что такое CWE Top 25?


CWE Top 25 – это список наиболее опасных и распространённых недостатков. Эти недостатки опасны потому, что часто их легко найти и использовать. Они могут позволить злоумышленникам помешать работе приложения, украсть данные или даже полностью захватить систему. CWE Top 25 – это значимый ресурс сообщества, который может помочь получить представление о наиболее распространённых и опасных на данный момент недостатках безопасности.


Каков алгоритм составления и ранжирования списка CWE Top 25 2022?


Основными источниками информации для исследования в этом году являлись:


  • национальная база данных уязвимостей США (U.D. National Vulnerability Database (NVD)) за 2020–2021 годы;
  • каталог эксплуатируемых уязвимостей (KEV) агентства по кибербезопасности и защите инфраструктуры США (Cybersecurity and Infrastructure Security Agency (CISA)), составленный в ноябре 2021 года.

Полученные данные команда исследователей преобразовала согласно методу "View-1003" для уменьшения специфичности записей. Благодаря этому, например, CWE‑122 (Heap-Based Buffer Overflow) будет преобразована к базовой CWE‑787 (Out-of-Bounds Write). Также были отфильтрованы следующие категории записей:


  • без оценки CVSS;
  • помеченные как отклонённые;
  • для которых отсутствует сопоставление CVE -> CWE;
  • относящиеся к категориям «CWE‑Other» и «NVD-CWE‑noinfo».

Далее команда исследователей применила собственную формулу для расчёта порядка ранжирования, учитывающую частоту, с которой какой-либо недостаток (CWE) является основной причиной уязвимости, и потенциальную опасность эксплуатации. Частота и прогнозируемая серьёзность нормализованы относительно своих минимальных и максимальных значений. Для вычисления частоты упоминания в формуле подсчитывается, сколько раз CVE ссылались на CWE в базе данных NVD.


Freq = {count(CWE_X' ∈ NVD) for each CWE_X' in NVD}


Fr(CWE_X) = (count(CWE_X ∈ NVD) — min(Freq)) / (max(Freq) — min(Freq))


Другим важным компонентом формулы ранжирования является расчёт серьёзности недостатка, который вычисляется по формуле:


Sv(CWE_X) = (average_CVSS_for_CWE_X — min(CVSS)) / (max(CVSS) — min(CVSS))


Ну и в конце вычисляется итоговая оценка путём перемножения оценки частоты упоминания на оценку серьёзности.


Score(CWE_X) = Fr(CWE_X) * Sv(CWE_X) * 100


В целом методология анализа данных в этом году не претерпела существенных изменений. А вот уже в следующем году авторы планируют более значительные перемены. Вот некоторые из них:


  • возможность создания узкоспециализированных списков, как например Top 25 для мобильных приложений и т.п.;
  • рассмотреть возможность изменения метрик, используемых для составления списка, для уменьшения предвзятости данных (подробнее);
  • улучшить методику View-1003;
  • использовать другие способы нормализации, кроме View-1003;
  • по возможности, проводить сопоставления CVE -> CWE более часто, чтобы уменьшить число единовременных правок в данные по сопоставлению.

Более подробно о методологии подготовки и анализа данных можно прочитать в дополнительных сведениях к исследованию.


Насколько большая выборка в этом году?


Набор данных для анализа в этом году включал в себя 37 899 CVE, обнаруженных за два прошедших года.


CWE Top 25 действительно обновляется каждый год?


Да, CWE Top 25 обновляется ежегодно. Предыдущие выпуски CWE Top 25 можно посмотреть в архиве.


Кто занимается составлением CWE Top 25?


Сообщество CWE включает как отдельных исследователей, так и представителей многочисленных организаций, научного сообщества и государственных структур, заинтересованных в активном сокращении и устранении недостатков в программном обеспечении. Конкретный список участников команды CWE можно посмотреть на странице "CWE Community Members".


Более подробно познакомиться с классификацией можно на сайте cwe.mitre.org.


Положение дел сегодня


Ниже представлена таблица соответствия между списком CWE Top 25 2022 и диагностиками PVS-Studio с разделением по языкам программирования. Наиболее актуальную таблицу с покрытием CWE Top 25 всегда можно посмотреть на нашем сайте.


#


CWE ID


Имя


Оценка


KEV


Диагностики PVS‑Studio


1


CWE‑787


Out-of-bounds Write


64,20


62


C++: V512, V557, V582, V645
C#: V3106
Java: V6025

2


CWE‑79


Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')


45,97


2


C#: V5610

3


CWE‑89


Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')


22,11


7


C#: V5608

4


CWE‑20


Improper Input Validation


20,63


20


C++: V739, V781, V1010, V1024, V5009

5


CWE‑125


Out-of-bounds Read


17,67


1


C++: V512, V557, V582
C#: V3106
Java: V6025

6


CWE‑78


Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')


17,53


32


C++: V1010, V5009
C#: V5616

7


CWE‑416


Use After Free


15,50


28


C++: V623, V723, V758, V774, V1017

8


CWE‑22


Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')


14,08


19


C#: V5609

9


CWE‑352


Cross-Site Request Forgery (CSRF)


11,53


1


Coming in the future


10


CWE‑434


Unrestricted Upload of File with Dangerous Type


9,56


6


Coming in the future


11


CWE‑476


NULL Pointer Dereference


7,15


0


C++: V522, V595, V664, V713, V1004
C#: V3027, V3042, V3080, V3095, V3100, V3125, V3145, V3146, V3148, V3149, V3152, V3153, V3168
Java: V6008, V6060, V6093

12


CWE‑502


Deserialization of Untrusted Data


6,68


7


C#: V5611

13


CWE‑190


Integer Overflow or Wraparound


6,53


2


C++: V629, V658, V673, V683, V1026, V1028, V1083, V1085, V5004, V5005, V5006, V5007, V5010, V5011
C#: V3113
Java: V6105

14


CWE‑287


Improper Authentication


6,35


4


Coming in the future


15


CWE‑798


Use of Hard-coded Credentials


5,66


0


C++: V5013
C#: V5601
Java: V5305

16


CWE‑862


Missing Authorization


5,53


1


Coming in the future


17


CWE‑77


Improper Neutralization of Special Elements used in a Command ('Command Injection')


5,42


5


C#: V5616

18


CWE‑306


Missing Authentication for Critical Function


5,15


6


Coming in the future


19


CWE‑119


Improper Restriction of Operations within the Bounds of a Memory Buffer


8,85


6


C++: V512, V557, V582, V769, V783, V1004

20


CWE‑276


Incorrect Default Permissions


4,84


0


Coming in the future


21


CWE‑918


Server-Side Request Forgery (SSRF)


4,27


8


C#: V5618

22


CWE‑362


Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition')


3,57


6


Coming in the future


23


CWE‑400


Uncontrolled Resource Consumption


3,56


2


Coming in the future


24


CWE‑611


Improper Restriction of XML External Entity Reference


3,38


0


C#: V5614

25


CWE‑94


Improper Control of Generation of Code ('Code Injection')


3,32


4


C++: V1076

Как видно из таблицы, на данный момент статический анализатор PVS-Studio обеспечивает покрытие 68% (17 из 25) списка CWE Top 25 2022. В прошлом году это значение составляло 52%. Довольно значимое улучшение покрытия за год и во многом это заслуга большого количества SAST-ориентированных диагностик, выпущенных за прошедший год.


Изменения за последний год


Самые крупные передвижения вверх:


#


CWE ID


Название


Позиция в 2021 г


Позиция в 2022 г


Изменение за год


1


CWE‑362


Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition')


33


22


11▲

2


CWE‑77


Improper Neutralization of Special Elements used in a Command ('Command Injection')


25


17


8▲

3


CWE‑400


Uncontrolled Resource Consumption


27


23


4▲

4


CWE‑476


NULL Pointer Dereference


15


11


4▲

5


CWE‑94


Improper Control of Generation of Code ('Code Injection')


28


25


3▲

Самые крупные передвижения вниз:

#


CWE ID


Название


Позиция в 2021 г


Позиция в 2022 г


Изменение за год


1


CWE‑522


Insufficiently Protected Credentials


21


38


17▼

2


CWE‑200


Exposure of Sensitive Information to an Unauthorized Actor


20


33


13▼

3


CWE‑732


Incorrect Permission Assignment for Critical Resource


22


30


8▼

4


CWE‑306


Missing Authentication for Critical Function


11


18


7▼

«Новички» в Top 25:

#


CWE ID


Название


Позиция в 2021 г


Позиция в 2022 г


Изменение за год


1


CWE‑362


Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition')


33


22


11▲

2


CWE‑400


Uncontrolled Resource Consumption


27


23


4▲

3


CWE‑94


Improper Control of Generation of Code ('Code Injection')


28


25


3▲

Ну и в конце – дефекты, которые выбыли из CWE Top 25 в 2022 году:

#


CWE ID


Название


Позиция в 2021 г


Позиция в 2022 г


Изменение за год


1


CWE‑200


Exposure of Sensitive Information to an Unauthorized Actor


20


33


13▼

2


CWE‑522


Insufficiently Protected Credentials


21


23


2▼

3


CWE‑732


Incorrect Permission Assignment for Critical Resource


22


30


8▼

Краткий итог по изменениям:


  • первые десять мест в топе остаются достаточно стабильными;
  • CWE‑787 (Out-of-bounds Write) всё также удерживает лидерство;
  • CWE‑502 (Deserialization of Untrusted Data) и CWE‑862 (Missing Authorization) уверенно поднимаются год от года;
  • в этом году в топ ворвался CWE‑362 (Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition')), поднявшись сразу на 11 пунктов вверх по сравнению с прошлым годом;
  • появившаяся в 2020 и резко взлетевшая в прошлом году CWE‑306 (Missing Authentication for Critical Function) сильно потеряла позиции в текущем;
  • самым же крупным движением вниз отметилась CWE‑522 (Insufficiently Protected Credentials), которая упала вниз сразу на 17 пунктов.

За бортом


Бонусом предлагаю посмотреть, какие недостатки оказались ниже основного списка CWE Top 25 в 2022 году и вполне могут подняться в 2023 году:


#


CWE ID


Название


Оценка


KEV


Изменение за год


26


CWE‑295


Improper Certificate Validation


3,12


2


-


27


CWE‑427


Uncontrolled Search Path Element


3,12


0


7▲

28


CWE‑863


Incorrect Authorization


3,10


0


10▲

29


CWE‑269


Improper Privilege Management


3,06


3


-


30


CWE‑732


Incorrect Permission Assignment for Critical Resource


2,93


1


8▼

31


CWE‑843


Access of Resource Using Incompatible Type ('Type Confusion')


2,87


10


5▲

32


CWE‑668


Exposure of Resource to Wrong Sphere


2,68


0


21▲

33


CWE‑200


Exposure of Sensitive Information to an Unauthorized Actor


2,49


2


13▼

34


CWE‑1321


Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution')


2,48


0


новый


35


CWE‑601


URL Redirection to Untrusted Site ('Open Redirect')


2,41


0


2▲

36


CWE‑401


Missing Release of Memory after Effective Lifetime


2,39


0


4▼

37


CWE‑59


Improper Link Resolution Before File Access ('Link Following')


2,38


4


6▼

38


CWE‑522


Insufficiently Protected Credentials


2,25


0


17▼

39


CWE‑319


Cleartext Transmission of Sensitive Information


2,15


0


4▼

40


CWE‑312


Cleartext Storage of Sensitive Information


2,01


0


1▲




Хоть данные недостатки и не попали в основной список, но они все равно являются важными т.к. при благоприятных обстоятельствах могут стать полноценными уязвимостями.


Заключение


Надеюсь, что данный материал был для вас интересен, а может быть и помог разобраться в актуальной терминологии.


К счастью, в борьбе с потенциальными уязвимостями помогают статические анализаторы, и поэтому по традиции мне хотелось бы предложить вам скачать и попробовать проверить свой проект статическим анализатором PVS-Studio. Вдруг и у вас в код закралась парочка CWE, которые только и ждут удобного момента, чтобы стать полноценными CVE :)


Дополнительные ссылки


Теги:
Хабы:
Всего голосов 11: ↑9 и ↓2+11
Комментарии0

Публикации

Информация

Сайт
pvs-studio.com
Дата регистрации
Дата основания
2008
Численность
31–50 человек
Местоположение
Россия