MITREが2020 CWE Top 25最も危険性の高いソフトウェアの脆弱性を発表

このリストは、そうした弱点を知っていれば修正が可能だという発想に立っています。そして、MITREが最も危険な脆弱性に関する便利なリストを提供している以上、悪意のある者もその脆弱性を確実に認識していますから、特に注意して修正する必要があります。

これはMITREからの最新情報ではありません。とはいえ、リストは発表は以前に比べてはるかに迅速になっています。同社が2019年9月にリストを掲載したのは2011年以来のことでした。当時、MITREは年次報告の形にするつもりでしたが、この更新はそれよりも早く、2020年8月に発表されました。

MITREの外部コミュニケーション・リーダーであるJennifer Lang氏によると、毎年のリストは過去2年間のデータに基づいているということなので、今年のリストは2018～19年に見つかったCWEが元になっています。

「脆弱性と弱点の全体的なマッピングが改善され、既存のマッピングを確認するのに必要な時間が短縮されているので、春近くにリストをリリースすることを目標にしています」とLang氏は言います。

米国国土安全保障省（DHS）が出資するMITREは、プレスリリースで、このリストは「開発者、テスター、ユーザー、プロジェクトマネージャー、セキュリティ研究者、教育者を支援するコミュニティリソース」になることを意図していると述べました。

このリストには、セキュリティの専門家にはよく知られている種類の弱点が含まれています。トップ10の中には、クロスサイト・スクリプティング（XSS）、SQLインジェクション、不適切な入力検証、範囲外の読み取り、不正なアクターへの機密情報の漏えいなどが含まれています。

2020 CWE Top 25の使い方

CWE Top 25リストは、開発チームや組織が優先順位を設定するために役立ちます。これにより、開発をスローダウンすることなく、重大な脅威に対処できます。

また、MITREリストは、ソフトウェアのセキュリティ向上を目的とするリソース組織だけが使用するものではありません。CVEは脆弱性を網羅していないという批判があります。2018年では、番号を振られていたのは既知の脆弱性のわずか62%でした。

CWEリストは「CVE番号が割り当てられた脆弱性のみに基づいているため、偏りが生じている可能性があります。CVEに付番するには、脆弱性を公開し、対象が十分に普及した（一般に外部公開された）アプリケーションである必要があります。」とPegueroは指摘します。

また、「バグバウンティプログラムで報告される多くの脆弱性は、プロセスが冗長であるため、開示されず、CVE番号も付与されません」とPeguero は言い、OWASP Top 10は「オープンソースや一般に知られているアプリケーションだけでなく、異なるセキュリティ企業によって評価される内部商用アプリケーションも基準にしているため、より正確なデータに依存しています」と付け加えました。

Pegueroは、MITREリストの一番下の25番にCWE-862、認証の欠如があるのを見て驚いたと言い、「シノプシスのコンサルタントがクライアントコードを見ると、この弱点はCWEリストの他のいくつかの弱点よりもはるかに頻繁に生じています」と指摘します。