Top 25 CWE 2024 : la méthodo évolue... et le classement aussi

La prime aux faiblesses génériques ? La méthodologie du dernier Top 25 CWE va dans ce sens.

Les années précédentes, MITRE avait accordé une attention particulière aux CWE (faiblesses logicielles) "fréquemment mal traitées". C'est-à-dire celles susceptibles d'être associées abusivement à des CVE (vulnérabilités). Il pouvait en résulter des remappings à des CWE de plus bas niveau - par exemple, CWE-78 (injection de commande système) plutôt que CWE-77 (injection de commande).

Cette année, MITRE a donné davantage de poids aux CNA (autorités de numérotation CVE). Y compris pour la révision des mappings. Mais au bout du compte, entre celles qui n'ont pas répondu et celles qui ont décliné, seulement 27 % du dataset a effectivement été réanalysé. D'où, potentiellement, la progression - voire l'entrée - dans le Top 25 de CWE de haut niveau. CWE-77 en fait partie, comme CWE-94 (injection de code). Même chose pour CWE-400 (consommation incontrôlée de ressources), alors que CWE-770 (allocation de ressources sans limites) est parfois plus approprié.

Autre élément délégué cette année aux CNA : l'analyse des chaînes. Or, peu l'effectuent. Cela peut expliquer le recul de CWE-20 (validation incorrecte d'entrées) au profit de CWE-79 (XSS), de CWE-190 (dépassement d'entier) à la faveur de CWE-787 (écriture hors limites) ou de CWE-362 (situation de compétition) face à CWE-416 (use after free).

Plus globalement, la plupart des CWE ont, cette année, été associées à moins de CVE. MITRE y voit une conséquence potentielle de l'absence de mapping dans de nombreuses CVE publiées au premier semestre 2024 par la NVD (National Vulnerability Database)*.

Le top 25 des vulnérabilités logicielles en 2024

D'une année sur l'autre, CWE-362 (situation de concurrence) sort du Top 25 (34^e). Idem pour CWE-276 (permissions par défaut incorrectes ; 36^e). À l'inverse, CWE-400 (consommation incontrôlée de ressources ; 37^e l'an dernier) et CWE-200 (exposition d'informations sensibles à un acteur non autorisé ; 17^e l'an dernier) font leur entrée.

* Classement basé sur l'analyse de 31 770 CVE publiées entre juin 2023 et juin 2024.

Illustration © Quardia Inc. - Adobe Stock