CWE Top 25 и Top Routinely Exploited Vulnerabilities🔝

Пока был в отпуске, MITRE представила обновленный топ-25 наиболее опасных дефектов программного обеспечения за 2024 год, а CISA&Co выкатили топ регулярно эксплуатируемых уязвимостей за 2023 год.

2024 CWE Top 25
В топе дефектов программного обеспечения довольно много изменений по сравнению с 2023 годом. В первую очередь это может быть связано с изменением методологии анализа. В то же время авторы подчеркивают, что проблемы с наполнением базы NVD и ошибки при определении конечного дефекта CWE, явившегося причиной появления уязвимости, могут влиять на точность представленного топа, но "скорее всего, всё в рамках допустимой погрешности"😅
Подробнее про основные выводы можно почитать здесь, а ещё советую посмотреть аналогичную аналитику от компании DogeSec, которую они провели в конце октября (их топ на втором скрине) — есть отличия от топа MITRE, но несущественные.
Для себя выделил попадание в топы дефектов "Раскрытие конфиденциальной информации неавторизованному лицу" (CWE-200) и "Неконтролируемое потребление ресурсов" (CWE-400), которые могут приводить к утечкам и DoS-атакам соответственно😑

2023 Top Routinely Exploited Vulnerabilities
В топе регулярно/"повседневно" эксплуатируемых уязвимостей в этот раз 15+32 уязвимостей.
Из интересного:
➡️В топ-15 только одна уязвимость, обнаруженная в ПО с открытым исходным кодом (log4j).
Здесь не следует делать вывод о том, что опенсорсное ПО более безопасно — скорее, чаще атакуют богатые компании, где используется проприетарное ПО и оборудование.
В то же время наличие уязвимости 2021 года в топе 2023 года также говорит о том, что во многих организациях до сих пор стоит дырявая версия log4j и есть проблемы с обновлением зависимостей🥲
➡️Треть уязвимостей не имеет "публичного" кода эксплойта (в MetaSploit/Nuclei).
➡️Больше трети уязвимостей из основного топа — это уязвимости в сетевом оборудовании.
Подробную информацию об уязвимостях из топа можно посмотреть ещё в этом репозитории.

#vm #cve #mitre #cisa #cwe #vulnerability

😏 А вы знали, что Microsoft собирает данные из ваших Excel и Word, чтобы обучать ИИ?

💻 Оказывается фича Connected Experiences включена по умолчанию и сливает ваши данные в облако. Документы, таблицы и все ваши заметки — всё идёт на «благо» искусственного интеллекта.

⚙️ Как отключить это безобразие:

1️⃣ Открываем приложение Microsoft Office.
2️⃣ Путь: File → Options → Trust Center → Trust Center Settings → Privacy Options → Privacy Settings → Optional Connected Experiences.
3️⃣ Снимаем галочку с «Turn on optional connected».
4️⃣ Всё, ваши данные больше не тренируют злоебучий ИИ.

🤨 Microsoft всё равно уже всё о тебе знает.

@pentestland