MITRE 2024 年最危險軟體弱點排名：跨站腳本攻擊（XSS）居首位

2024 / 11 / 22

編輯部

MITRE 與美國網路安全暨基礎設施安全局（CISA）最新發布的 2024 年 25 大最危險資安漏洞（CWE）排名顯示，跨站腳本攻擊（XSS）已成為今年最嚴重的軟體安全弱點，緊接著是緩衝區溢位寫入（Out-of-bounds Write）、SQL 注入、跨站請求偽造（CSRF）及路徑遍歷（Path Traversal）等經典資安漏洞。

值得注意的是，今年的評分方法首次同時考量漏洞的嚴重性與出現頻率。MITRE 的 CVE 計畫負責人 Alec Summers 表示：「雖然排名略有變動，但我們仍持續看到這些『老面孔』（如 CWE-79、CWE-89、CWE-125）位居前列，這些頑固的弱點持續高居榜單前段，實在令人擔憂。」

今年最大的變化是 CSRF 從去年第九名躍升至第四名。Summers 解釋：「這可能反映出資安研究人員對 CSRF 的關注度提升、CSRF 檢測技術改進，或是更多攻擊者開始專注於此類攻擊。」

隨著軟體開發生命週期（SDLC）和軟體供應鏈變得愈發複雜，這份榜單的重要性與日俱增。Summers 建議組織應將此榜單作為制定軟體安全策略的重要參考依據，在開發和採購流程中優先考慮這些安全弱點。

特別是在軟體供應鏈安全方面，Summers 強調：「組織必須要求供應商採用 CVE 與 CWE 的根因對應。這不僅能促進組織的 SDLC 和架構設計規劃的良性循環，還能節省成本 - 在產品開發階段避免的弱點越多，部署後需要管理的漏洞就越少。」

今年的榜單評估工作首次獲得所有 CVE 編號授權機構（CNA）的參與，共有來自 40 個國家的 148 個 CNA 協助開發這份清單。目前全球共有 421 個 CNA，顯示出國際社會對軟體安全的高度重視。

這份榜單再次提醒我們，即使是老牌的資安漏洞仍然對組織構成重大威脅，持續投資和關注程式碼安全的重要性不容忽視。

本文轉載自darkreading。

軟體供應鏈安全供應鏈安全軟體開發生命週期跨站腳本攻擊 SQL 注入跨站請求偽造路徑遍歷