CWE Top 25 - (2022)

Die CWE Top 25 ist eine jährliche Liste der gefährlichsten Software-Sicherheitslücken, die von der MITRE Corporation zusammengestellt wird. Die Liste wird jedes Jahr aktualisiert, um die neuesten Sicherheitsbedrohungen und Schwachstellen zu berücksichtigen. Die Version 2022 der CWE Top 25-Liste enthält neue Einträge und Aktualisierungen bestehender Einträge, was sie zu einer wichtigen Ressource für Software-Sicherheitsexperten macht. In diesem Blogbeitrag gehen wir auf die Unterschiede zwischen den CWE Top 25 2021 und den CWE Top 25 2022 ein und erörtern, wie diese Änderungen Unternehmen helfen können, ihre Systeme und Daten besser zu schützen.

CWE TOP 25 - 2022

1. Out-of-bounds Write: Diese Sicherheitslücke tritt auf, wenn ein Programm Daten außerhalb des vorgesehenen Puffers, Speichers oder anderen Speicherbereichs schreibt. Dies kann zu einem Absturz oder zur Ausführung von bösartigem Code führen.

2. Unsachgemäße Neutralisierung von Eingaben während der Generierung von Webseiten ('Cross-Site Scripting'): Diese Schwachstelle tritt auf, wenn vom Benutzer bereitgestellte Eingaben nicht ordnungsgemäß bereinigt oder validiert werden, bevor sie in eine Webseite eingefügt werden. Dies kann es einem Angreifer ermöglichen, bösartigen Code in die Seite einzuschleusen, der von anderen Benutzern ausgeführt werden kann.

3. Unsachgemäße Neutralisierung von speziellen Elementen, die in einem SQL-Befehl verwendet werden ("SQL Injection"): Diese Schwachstelle tritt auf, wenn vom Benutzer bereitgestellte Eingaben nicht ordnungsgemäß bereinigt oder validiert werden, bevor sie in einer SQL-Abfrage verwendet werden. Dies kann es einem Angreifer ermöglichen, bösartigen Code in die Abfrage einzuschleusen, der von der Datenbank ausgeführt werden kann.

4. Unsachgemäße Eingabevalidierung: Diese Schwachstelle tritt auf, wenn vom Benutzer bereitgestellte Eingaben nicht ordnungsgemäß bereinigt oder validiert werden, bevor sie in einem Programm verwendet werden. Dies kann es einem Angreifer ermöglichen, bösartigen Code in das Programm einzuschleusen, der vom Programm ausgeführt werden kann.

5. Out-of-bounds Read: Diese Schwachstelle tritt auf, wenn ein Programm Daten außerhalb des vorgesehenen Puffers, Speichers oder anderen Speicherbereichs liest. Dies kann zu einem Absturz oder zur Ausführung von bösartigem Code führen.

6. Unsachgemäße Neutralisierung spezieller Elemente, die in einem OS-Befehl verwendet werden ('OS Command Injection'): Diese Schwachstelle tritt auf, wenn vom Benutzer bereitgestellte Eingaben nicht ordnungsgemäß bereinigt oder validiert werden, bevor sie in einem Betriebssystembefehl verwendet werden. Dies kann es einem Angreifer ermöglichen, bösartigen Code in den Befehl einzuschleusen, der dann vom Betriebssystem ausgeführt werden kann.

7. Use After Free: Diese Sicherheitslücke tritt auf, wenn ein Programm versucht, auf Speicher zuzugreifen, der bereits freigegeben wurde. Dies kann zu einem Absturz oder zur Ausführung von bösartigem Code führen.

8. Unzulässige Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal'): Diese Schwachstelle tritt auf, wenn ein Programm den Zugriff auf eine Datei oder ein Verzeichnis nicht richtig einschränkt. Dies kann es einem Angreifer ermöglichen, auf Dateien oder Verzeichnisse zuzugreifen, auf die er keinen Zugriff haben sollte.

9. Cross-Site Request Forgery (CSRF): Diese Schwachstelle tritt auf, wenn eine bösartige Website im Namen eines Benutzers eine Anfrage an eine anfällige Website sendet. Dies kann einem Angreifer ermöglichen, im Namen des Benutzers ohne dessen Wissen oder Zustimmung Aktionen auszuführen.

10. Uneingeschränkter Upload von Dateien mit gefährlichem Typ: Diese Schwachstelle tritt auf, wenn ein Programm die Dateitypen, die hochgeladen werden können, nicht ordnungsgemäß einschränkt. Dies kann es einem Angreifer ermöglichen, bösartige Dateien hochzuladen, die vom Programm ausgeführt werden können.

11. NULL-Zeiger-Dereferenz: Diese Sicherheitslücke tritt auf, wenn ein Programm versucht, auf Speicher zuzugreifen, der nicht zugewiesen wurde. Dies kann zu einem Absturz oder zur Ausführung von Schadcode führen.

12. Deserialisierung von nicht vertrauenswürdigen Daten: Diese Schwachstelle tritt auf, wenn vom Benutzer bereitgestellte Daten nicht ordnungsgemäß bereinigt oder validiert werden, bevor sie deserialisiert werden. Dies kann es einem Angreifer ermöglichen, bösartigen Code in die deserialisierten Daten einzuschleusen, der dann vom Programm ausgeführt werden kann.

13. Integer-Überlauf oder Wraparound: Diese Schwachstelle tritt auf, wenn ein Programm eine arithmetische Operation ausführt, die zu einem Integer-Überlauf oder -Wraparound führt. Dies kann zu einem Absturz oder zur Ausführung von bösartigem Code führen.

14. Unzulässige Authentifizierung: Diese Schwachstelle tritt auf, wenn ein Programm die Benutzer nicht richtig authentifiziert. Dies kann es einem Angreifer ermöglichen, sich ohne entsprechende Berechtigung Zugriff auf das System zu verschaffen.

15. Verwendung von fest codierten Anmeldeinformationen: Diese Schwachstelle tritt auf, wenn ein Programm fest kodierte Anmeldeinformationen verwendet. Dies kann es einem Angreifer ermöglichen, sich ohne entsprechende Berechtigung Zugriff auf das System zu verschaffen.

16. Fehlende Autorisierung: Diese Sicherheitslücke tritt auf, wenn ein Programm Benutzer nicht ordnungsgemäß autorisiert. Dies kann es einem Angreifer ermöglichen, sich ohne ordnungsgemäße Autorisierung Zugriff auf das System zu verschaffen.

17. Unsachgemäße Neutralisierung spezieller Elemente, die in einem Befehl verwendet werden ('Command Injection'): Diese Schwachstelle tritt auf, wenn vom Benutzer bereitgestellte Eingaben nicht ordnungsgemäß bereinigt oder validiert werden, bevor sie in einem Befehl verwendet werden. Dies kann es einem Angreifer ermöglichen, bösartigen Code in den Befehl einzuschleusen, der dann vom System ausgeführt werden kann.

18. Fehlende Authentifizierung bei kritischer Funktion: Diese Schwachstelle tritt auf, wenn ein Programm Benutzer nicht ordnungsgemäß authentifiziert, bevor es ihnen erlaubt, eine kritische Funktion auszuführen. Dies kann es einem Angreifer ermöglichen, die Funktion ohne entsprechende Berechtigung auszuführen.

19. Unzulässige Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers: Diese Schwachstelle tritt auf, wenn ein Programm Operationen innerhalb der Grenzen eines Speicherpuffers nicht ordnungsgemäß einschränkt. Dies kann zu einem Absturz oder der Ausführung von bösartigem Code führen.

20. Falsche Standardberechtigungen: Diese Schwachstelle tritt auf, wenn ein Programm die Standardberechtigungen für Dateien oder Verzeichnisse nicht richtig festlegt. Dies kann es einem Angreifer ermöglichen, auf Dateien oder Verzeichnisse zuzugreifen, auf die er keinen Zugriff haben sollte.

21. Server-Side Request Forgery (SSRF): Diese Schwachstelle tritt auf, wenn eine bösartige Website im Namen eines Benutzers eine Anfrage an einen anfälligen Server sendet. Dies kann einem Angreifer ermöglichen, im Namen des Benutzers ohne dessen Wissen oder Zustimmung Aktionen auszuführen.

22. Gleichzeitige Ausführung unter Verwendung gemeinsam genutzter Ressourcen mit unsachgemäßer Synchronisierung ('Race Condition'): Diese Schwachstelle tritt auf, wenn ein Programm den Zugriff auf eine gemeinsam genutzte Ressource nicht ordnungsgemäß synchronisiert. Dies kann es einem Angreifer ermöglichen, ohne entsprechende Berechtigung Zugriff auf die Ressource zu erhalten.

23. Unkontrollierter Ressourcenverbrauch: Diese Schwachstelle tritt auf, wenn ein Programm die Menge der Ressourcen, die verbraucht werden können, nicht richtig begrenzt. Dies kann zu einem Denial-of-Service-Angriff führen.

24. Unzulässige Einschränkung der XML External Entity Reference: Diese Schwachstelle tritt auf, wenn ein Programm die Verwendung von externen Entitäten in XML-Dokumenten nicht ordnungsgemäß einschränkt. Dies kann einem Angreifer den Zugriff auf Dateien oder Verzeichnisse ermöglichen, auf die er keinen Zugriff haben sollte.

25. Unzulässige Kontrolle der Codegenerierung ('Code Injection'): Diese Schwachstelle tritt auf, wenn vom Benutzer bereitgestellte Eingaben nicht ordnungsgemäß bereinigt oder validiert werden, bevor sie zur Codegenerierung verwendet werden. Dies kann es einem Angreifer ermöglichen, bösartigen Code in den generierten Code einzuschleusen, der dann vom Programm ausgeführt werden kann.

Fazit

Die CWE Top 25 von 2022 ist eine aktualisierte Version der CWE Top 25 von 2021. Die CWE Top 25 von 2022 enthält neue Schwachstellen wie unkontrollierten Ressourcenverbrauch, gleichzeitige Ausführung unter Verwendung gemeinsam genutzter Ressourcen mit unsachgemäßer Synchronisierung ("Race Condition") und unsachgemäße Kontrolle der Codegenerierung ("Code Injection"). Darüber hinaus enthält die CWE Top 25 aus dem Jahr 2022 aktualisierte Versionen bestehender Schwachstellen wie Out-of-bounds-Write, unsachgemäße Neutralisierung von Eingaben während der Webseitengenerierung ('Cross-Site Scripting') und unsachgemäße Neutralisierung spezieller Elemente, die in einem SQL-Befehl verwendet werden ('SQL Injection'). Die CWE Top 25 von 2022 ist wichtig, weil sie eine umfassende Liste der häufigsten und gefährlichsten Software-Schwachstellen enthält. Wenn Unternehmen diese Schwachstellen verstehen und beheben, können sie ihre Systeme und Daten besser vor böswilligen Akteuren schützen.