Компьютерные эксперты из 30 организаций со всего света в очередной раз
составили список из 25 самых опасных программных ошибок, не забыв при этом
порекомендовать способы их недопущения. В целом рекомендации сводятся к одному –
необходимо еще на стадии подписания контрактов прописывать ответственность
разработчиков за наличие багов.
Новый список
поразительно похож на тот, что был опубликован
в
прошлом году, когда эксперты по безопасности по всему миру достигли
формального соглашения о том, какие баги считать самыми опасными и
распространенными. Цель проекта – привлечь внимание к незаметным на первый
взгляд ошибкам, из-за наличия которых впоследствии и проявляются различные
уязвимости.
- Failure to Preserve Web Page Structure ('Cross-site Scripting')
- Improper Sanitization of Special Elements used in an SQL Command ('SQL
Injection') - Buffer Copy without Checking Size of Input ('Classic Buffer Overflow')
- Cross-Site Request Forgery (CSRF)
- Improper Access Control (Authorization)
- Reliance on Untrusted Inputs in a Security Decision
- Improper Limitation of a Pathname to a Restricted Directory ('Path
Traversal') - Unrestricted Upload of File with Dangerous Type
- Improper Sanitization of Special Elements used in an OS Command ('OS
Command Injection') - Missing Encryption of Sensitive Data
- Use of Hard-coded Credentials
- Buffer Access with Incorrect Length Value
- Improper Control of Filename for Include/Require Statement in PHP
Program ('PHP File Inclusion') - Improper Validation of Array Index
- Improper Check for Unusual or Exceptional Conditions
- Information Exposure Through an Error Message
- Integer Overflow or Wraparound
- Incorrect Calculation of Buffer Size
- Missing Authentication for Critical Function
- Download of Code Without Integrity Check
- Incorrect Permission Assignment for Critical Resource
- Allocation of Resources Without Limits or Throttling
- Redirection to Untrusted Site ('Open Redirect')
- Use of a Broken or Risky Cryptographic Algorithm
- Race Condition
Среди составителей списка значатся некоммерческая организация MITRE, Sans
Institute, Агентство национальной безопасности США и подразделение национальной
киберзащиты, входящее в структуру Министерства внутренней безопасности
Соединенных Штатов. Возглавляют распространяемый ими перечень такие известные
проблемы, как межсайтовый скриптинг (XSS), SQL-инъекции и ошибки, связанные с
переполнением буфера.
Наличие 25 приведенных авторами ошибок сделало возможным проведение
практически всех крупных кибератак в современной истории, включая знаменитую
атаку на Google и еще 33 крупных компании. Эти же бреши стали причиной
многочисленных взломов военных компьютерных систем, а также миллионов
компьютеров малых предприятий и простых пользователей.
