Publié le 2024-10-27 14:35:00. Les vulnérabilités liées à la neutralisation incorrecte des entrées, notamment le « Cross-site Scripting » (CWE-79), continuent de dominer le paysage des failles de sécurité informatique, selon un classement récent des risques les plus critiques.
- Le « Cross-site Scripting » (CWE-79) reste la vulnérabilité la plus courante, avec un score de 60,38.
- L’injection SQL (CWE-89) se classe deuxième, avec un score de 28,72, et a gagné une position par rapport à l’année précédente.
- Plusieurs vulnérabilités ont connu une progression notable dans le classement, notamment les problèmes d’autorisation (CWE-862 et CWE-863).
Le classement des vulnérabilités les plus critiques, basé sur l’analyse des failles exploitées et de leur impact potentiel, met en lumière les défis persistants en matière de sécurité des applications web et des systèmes informatiques. Ce classement est établi par l’organisation MITRE, qui maintient une base de données publique des faiblesses communes (Common Weakness Enumeration – CWE). Les données analysées permettent d’identifier les points faibles les plus fréquemment exploités par les attaquants.
En tête de liste, la vulnérabilité CWE-79, qui concerne la neutralisation incorrecte des entrées lors de la génération de pages web, demeure une préoccupation majeure. Cette faille permet à des attaquants d’injecter du code malveillant dans des sites web, compromettant potentiellement les données des utilisateurs. Elle est suivie de près par l’injection SQL (CWE-89), qui permet d’accéder et de manipuler des bases de données. La contrefaçon de demande intersite (CSRF – CWE-352) complète le podium, représentant un risque significatif pour l’intégrité des applications web.
Plusieurs vulnérabilités ont connu une évolution notable dans le classement. Les problèmes d’autorisation, tels que l’absence d’autorisation (CWE-862) et l’autorisation incorrecte (CWE-863), ont gagné des positions, soulignant l’importance de mettre en place des mécanismes d’authentification et d’autorisation robustes. Le déréférencement de pointeur NULL (CWE-476) a également progressé, indiquant une augmentation des vulnérabilités liées à la gestion de la mémoire. À l’inverse, certaines failles, comme l’injection de commande du système d’exploitation (CWE-77), ont vu leur classement diminuer, suggérant une amélioration potentielle des pratiques de développement sécurisé dans ce domaine.
Le rapport souligne l’importance pour les développeurs et les équipes de sécurité de se concentrer sur la correction des vulnérabilités les plus courantes et les plus critiques. Une attention particulière doit être accordée aux failles liées à la validation des entrées, à l’autorisation et à la gestion de la mémoire. Des outils d’analyse statique et dynamique, ainsi que des tests d’intrusion réguliers, peuvent aider à identifier et à corriger ces vulnérabilités avant qu’elles ne soient exploitées par des attaquants. Pour plus d’informations sur les CWE, consultez le site web de MITRE.
Les données de ce classement sont essentielles pour orienter les efforts de sécurité et prioriser les mesures de protection. En comprenant les vulnérabilités les plus courantes et leur impact potentiel, les organisations peuvent mieux se préparer et se défendre contre les cyberattaques.
À ne pas manquer
