MITRE telah membagikan daftar 25 kelemahan software paling berbahaya tahun ini yang menjadi dasar lebih dari 39.000 kerentanan keamanan yang diungkapkan antara Juni 2024 dan Juni 2025.
Daftar tersebut dirilis bekerja sama dengan Homeland Security Systems Engineering and Development Institute (HSSEDI) dan Cybersecurity and Infrastructure Security Agency (CISA), yang mengelola dan mensponsori program Common Weakness Enumeration (CWE).
Kelemahan software dapat berupa kekurangan, bug, kerentanan, atau kesalahan yang ditemukan dalam kode, implementasi, arsitektur, atau desain software, dan penyerang dapat menyalahgunakannya untuk membobol sistem yang menjalankan software rentan tersebut. Eksploitasi yang berhasil memungkinkan pelaku ancaman mendapatkan kendali atas perangkat yang disusupi dan memicu serangan Denial of Service (DoS) atau mengakses data sensitif.
Untuk membuat peringkat tahun ini, MITRE memberi skor pada setiap kelemahan berdasarkan tingkat keparahan dan frekuensinya setelah menganalisis 39.080 Catatan CVE untuk kerentanan yang dilaporkan antara 1 Juni 2024 dan 1 Juni 2025.
Meskipun Cross-Site Scripting (CWE-79) masih mempertahankan posisinya di puncak 25 Besar, ada banyak perubahan peringkat dari daftar tahun lalu, termasuk Missing Authorization (CWE-862), Null Pointer Dereference (CWE-476), dan Missing Authentication (CWE-306), yang merupakan penggerak terbesar dalam daftar.
Entri baru dalam daftar kelemahan paling parah dan umum tahun ini adalah Classic Buffer Overflow (CWE-120), Stack-based Buffer Overflow (CWE-121), Heap-based Buffer Overflow (CWE-122), Improper Access Control (CWE-284), Authorization Bypass Through User-Controlled Key (CWE-639), dan Allocation of Resources Without Limits or Throttling (CWE-770).
| Rank | ID | Name | Score | KEV CVEs | Change |
|---|---|---|---|---|---|
| 1 | CWE-79 | Cross-site Scripting | 60.38 | 7 | 0 |
| 2 | CWE-89 | SQL Injection | 28.72 | 4 | +1 |
| 3 | CWE-352 | Cross-Site Request Forgery (CSRF) | 13.64 | 0 | +1 |
| 4 | CWE-862 | Missing Authorization | 13.28 | 0 | +5 |
| 5 | CWE-787 | Out-of-bounds Write | 12.68 | 12 | -3 |
| 6 | CWE-22 | Path Traversal | 8.99 | 10 | -1 |
| 7 | CWE-416 | Use After Free | 8.47 | 14 | +1 |
| 8 | CWE-125 | Out-of-bounds Read | 7.88 | 3 | -2 |
| 9 | CWE-78 | OS Command Injection | 7.85 | 20 | -2 |
| 10 | CWE-94 | Code Injection | 7.57 | 7 | +1 |
| 11 | CWE-120 | Classic Buffer Overflow | 6.96 | 0 | N/A |
| 12 | CWE-434 | Unrestricted Upload of File with Dangerous Type | 6.87 | 4 | -2 |
| 13 | CWE-476 | NULL Pointer Dereference | 6.41 | 0 | +8 |
| 14 | CWE-121 | Stack-based Buffer Overflow | 5.75 | 4 | N/A |
| 15 | CWE-502 | Deserialization of Untrusted Data | 5.23 | 11 | +1 |
| 16 | CWE-122 | Heap-based Buffer Overflow | 5.21 | 6 | N/A |
| 17 | CWE-863 | Incorrect Authorization | 4.14 | 4 | +1 |
| 18 | CWE-20 | Improper Input Validation | 4.09 | 2 | -6 |
| 19 | CWE-284 | Improper Access Control | 4.07 | 1 | N/A |
| 20 | CWE-200 | Exposure of Sensitive Information | 4.01 | 1 | -3 |
| 21 | CWE-306 | Missing Authentication for Critical Function | 3.47 | 11 | +4 |
| 22 | CWE-918 | Server-Side Request Forgery (SSRF) | 3.36 | 0 | -3 |
| 23 | CWE-77 | Command Injection | 3.15 | 2 | -10 |
| 24 | CWE-639 | Authorization Bypass via User-Controlled Key | 2.62 | 0 | +6 |
| 25 | CWE-770 | Allocation of Resources w/o Limits or Throttling | 2.54 | 0 | +1 |
"Seringkali mudah ditemukan dan dieksploitasi, kerentanan ini dapat menyebabkan kerentanan yang dapat dieksploitasi yang memungkinkan musuh untuk sepenuhnya mengambil alih sistem, mencuri data, atau mencegah aplikasi berfungsi," kata MITRE.
“Daftar tahunan ini mengidentifikasi kelemahan paling kritis yang dieksploitasi oleh musuh untuk menyusupi sistem, mencuri data, atau mengganggu layanan. CISA dan MITER mendorong organisasi untuk meninjau daftar ini dan menggunakannya untuk menginformasikan strategi keamanan software mereka masing-masing,” tambah Cybersecurity and Infrastructure Security Agency (CISA) AS.
Dalam beberapa tahun terakhir, CISA telah mengeluarkan beberapa peringatan “Secure by Design” yang menyoroti prevalensi kerentanan yang terdokumentasi secara luas yang tetap ada dalam software meskipun ada mitigasi.
Beberapa dari peringatan ini telah dirilis sebagai respons terhadap kampanye jahat yang sedang berlangsung, seperti peringatan pada bulan Juli 2024 yang meminta perusahaan teknologi untuk menghilangkan kelemahan injeksi perintah jalur OS yang dieksploitasi oleh peretas negara Tiongkok Velvet Ant dalam serangan yang menargetkan perangkat jaringan edge Cisco, Palo Alto, dan Ivanti.
Minggu ini, badan keamanan siber menyarankan para pengembang dan tim produk untuk meninjau CWE Top 25 tahun 2025 guna mengidentifikasi kelemahan utama dan mengadopsi praktik Secure by Design, sementara tim keamanan diminta untuk mengintegrasikannya ke dalam pengujian keamanan aplikasi dan proses manajemen kerentanan mereka.
Pada bulan April 2025, CISA juga mengumumkan bahwa pemerintah AS telah memperpanjang pendanaan MITRE selama 11 bulan lagi untuk memastikan kesinambungan program Common Vulnerabilities and Exposures (CVE) yang penting, menyusul peringatan dari Wakil Presiden MITRE Yosry Barsoum bahwa pendanaan pemerintah untuk program CVE dan CWE akan segera berakhir.
0 Comments
