MITRE、2024年の最も危険なソフトウェア弱点トップ25を発表

MITREは、2023年6月から2024年6月までに公開された31,000件以上の脆弱性の背後にある、最も一般的で危険なソフトウェアの弱点の今年のトップ25リストを共有した。

ソフトウェアの弱点とは、ソフトウェアのコード、アーキテクチャ、実装、設計に見られる欠陥、バグ、脆弱性、エラーを指す。

攻撃者はこれらを悪用して、脆弱なソフトウェアが稼働しているシステムに侵入し、影響を受けたデバイスを制御して機密データにアクセスしたり、サービス拒否攻撃を仕掛けたりすることができる。

「MITREは本日、「多くの場合、脆弱性は容易に発見され、悪用される可能性があり、その結果、攻撃者はシステムを完全に乗っ取ったり、データを盗んだり、アプリケーションを動作不能にしたりすることができます。

「これらの脆弱性の根本原因を明らかにすることは、これらの脆弱性の発生を未然に防ぐための投資、政策、実践の強力な指針となり、産業界と政府の利害関係者の双方に利益をもたらします。

今年のランキングを作成するために、MITREは、CISAのKnown Exploited Vulnerabilities (KEV)カタログに追加されたセキュリティ上の欠陥に焦点を当て、「再マッピング分析が有益であろう」脆弱性について31,770件のCVEレコードを分析し、2023年と2024年にわたって報告した後、その重大性と頻度に基づいて各脆弱性を採点しました。

「この年次リストは、敵対者が頻繁に悪用してシステムを侵害し、機密データを盗み、重要なサービスを妨害する、最も重大なソフトウェアの弱点を特定するものである。

「組織はこのリストを確認し、自社のソフトウェア・セキュリティ戦略に役立てることが強く推奨される。開発および調達プロセスにおいて、これらの弱点に優先順位をつけることは、ソフトウェア・ライフサイクルの中核における脆弱性の防止に役立ちます。

CISA はまた、広く知られ、文書化されている脆弱性のうち、利用可能で効果的な緩和策があるにもかかわらず、いまだにソフトウェアから排除されていない脆弱性の蔓延に焦点を当てた「セキュア・バイ・デザイン（Secure by Design）」アラートも定期的に発表している。

7月のアラートでは、Cisco、Palo Alto、Ivantiのネットワーク・エッジ・デバイスを標的とした最近の攻撃で、中国のVelvet Ant stateのハッカーが悪用したパスOSコマンド・インジェクションの脆弱性を排除するようベンダーに求めている。

サイバーセキュリティ機関は5月と3月にも「セキュア・バイ・デザイン（Secure by Design）」アラートを2回発表し、ハイテク企業の幹部やソフトウェア開発者に対し、自社の製品やコードに含まれるパス・トラバーサルや SQLインジェクション（SQLi）の脆弱性を防ぐよう促している。

CISAはまた、技術ベンダーに対し、デフォルトのパスワードが設定されたソフトウェアやデバイスの出荷を停止するよう、また小規模オフィス／ホームオフィス（SOHO）用ルーターメーカーに対し、ボルト・タイフーン攻撃に対する安全性を確保するよう求めた。

先週、FBI、NSA、ファイブ・アイズのサイバーセキュリティ当局は、昨年日常的に悪用されたセキュリティ脆弱性トップ15のリストを発表し、攻撃者はゼロデイ（公表されているが、まだパッチが適用されていないセキュリティ上の欠陥）を標的にすることに重点を置いていると警告した。

「2023年、最も頻繁に悪用される脆弱性の大半は、ゼロデイとして最初に悪用されたものであり、ゼロデイとして悪用された脆弱性が上位の半分以下であった2022年よりも増加している」と彼らは注意を促している。