Los 25 errores más peligrosos del software en 2011

El top 25 de los errores más peligrosos del software en 2011 de CWE/SANS es una lista de los errores más críticos y extendidos que pueden conducir a graves vulnerabilidades en el software. Normalmente estos errores son fáciles de encontrar y de explotar y son peligrosos porque frecuentemente permiten a los atacantes tomar el control del software, robar datos o simplemente evitar que el software no funcione.

Esta lista es el resultado de la colaboración entre el Instituto SANS, MITRE y muchos los mejores expertos de seguridad de software en los EE.UU. y Europa. Se aprovecha de la experiencia en el desarrollo de los vectores de ataque del Top 20 de SANS (http://www.sans.org/top20/) y del CWE (Common Weakness Enumeration) de MITRE (http://cwe.mitre.org/).

A continuación os dejamos este top 25 que pretende ser una herramienta para la educación y la sensibilización de los programadores, para ayudarles a identificar y evitar los errores más comunes y así prevenir las vulnerabilidades típicas y tan frecuentes en la industria del software:

  1. CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
  2. CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
  3. CWE-120: Buffer Copy without Checking Size of Input ('Classic Buffer Overflow')
  4. CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
  5. CWE-306: Missing Authentication for Critical Function
  6. CWE-862: Missing Authorization
  7. CWE-798: Use of Hard-coded Credentials
  8. CWE-311: Missing Encryption of Sensitive Data
  9. CWE-434: Unrestricted Upload of File with Dangerous Type
  10. CWE-807: Reliance on Untrusted Inputs in a Security Decision
  11. CWE-250: Execution with Unnecessary Privileges
  12. CWE-352: Cross-Site Request Forgery (CSRF)
  13. CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
  14. CWE-494: Download of Code Without Integrity Check
  15. CWE-863: Incorrect Authorization
  16. CWE-829: Inclusion of Functionality from Untrusted Control Sphere
  17. CWE-732: Incorrect Permission Assignment for Critical Resource
  18. CWE-676: Use of Potentially Dangerous Function
  19. CWE-327: Use of a Broken or Risky Cryptographic Algorithm
  20. CWE-131: Incorrect Calculation of Buffer Size
  21. CWE-307: Improper Restriction of Excessive Authentication Attempts
  22. CWE-601: URL Redirection to Untrusted Site ('Open Redirect')
  23. CWE-134: Uncontrolled Format String
  24. CWE-190: Integer Overflow or Wraparound
  25. CWE-759: Use of a One-Way Hash without a Salt

Comentarios

Publicar un comentario