Dalla collaborazione del SANS Institute, esperti internazionali del settore della programmazione sicura e del Common Weakness Enumaration (CWE-MITRE) prende forma la lista dei 25 errori di programmazione più pericolosi.

Tale lista porta con sè l’esperienza della TOP 20 vectory attack del SANS (http://www.sans.org/top20/) e del MITRE Common Weakness Enumeration (CWE) (http://cwe.mitre.org/).

E’ organizzata in 3 macrocategorie:

• interazione non sicura tra componenti
  (il modo in cui i dati vengono veicolati tra i vari componenti software);
• gestione non oculata delle risorse impiegate
  (le modalità con le quali vengono creati gli oggetti, cancellati, liberata la memoria, processi concorrenti, etc…);
• scarsa attenzione alle misure preventive di sicurezza
  (mancanza di autenticazione, autenticazioni in chiaro, algoritmi fallati, mancati aggiornamenti, valori di default eccessivamente permissivi, etc…).

In risalto ancora una volta la mancata verifica e validazione dei valori d’input, contenimento delle operazioni all’interno dello spazio di memoria a disposizione nonchè il controllo improprio degli accessi.

Per chi volesse approfondire segnalo l’indirizzo ufficiale TOP 25 e qui il paper in pdf.

Segnalo inoltre, per gli addetti ai lavori, il recente rilascio della lista CWE 1.2, un’iniziativa della comunità che mantiene l’attenzione sulle vulnerabilità del software.

Buona lettura.