软件弱点是指从软件代码、架构、实现或设计中找到的缺陷、bug、漏洞和错误。攻击者可利用这些弱点攻陷易受攻击软件在运行的系统，获得对受影响设备的控制以及访问敏感数据或触发拒绝服务攻击。

MITRE 指出，“这些弱点通常易于发现和利用，可引发易受攻击的漏洞，使攻击者完全控制系统、窃取数据或阻止应用工作。找到这些漏洞的根因可为阻止这些漏洞发生的投资、政策和实践提供强大的指南，对行业行业和政府利益相关者都带来益处。”

为了发布今年的榜单，MITRE 分析了31770个CVE漏洞，基于严重性和频率对其进行评分。数据以2023到2024年期间CISA发布的必修清单 KEV为基础，而”重映射分析“有助于对漏洞优先级进行排序。

CISA提到，“该年度榜单找到攻击者高频率利用以攻陷系统、窃取敏感数据或破坏关键服务的最严重软件弱点。强烈建议组织机构查看该清单并知会软件安全策略。对开发和采购流程中的这些弱点进行优先级排序有助于从软件生命周期的核心阻止漏洞。”

CISA 还发布“设计安全”提醒，强调了尽管存在可用和有效的缓解措施，但尚未被消除的广为人知和已记录漏洞的的普遍性。CISA 一直在对正在进行的恶意活动进行响应，如7月针对黑客攻击思科、Palo Alto 和 Ivanti 网络边缘设备，要求厂商消除路径OS命令注入漏洞。在5月和3月，CISA 发布两份“安全设计”告警，督促技术管理层和软件开发人员阻止产品和代码中的路径遍历和SQLi漏洞。CISA还督促技术厂商停止交付具有默认密码的软件和设备，SOHO 路由器厂商抵御攻击。

上周，FBI、NSA和五眼联盟网络安全机构发布去年15大最常遭利用的安全漏洞清单，提醒攻击者专门攻击0day漏洞。它们提醒称，“2023年，大部分最常遭利用的漏洞遭利用时是0day漏洞状态，而2022年这些漏洞的数量不到一半。”

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~