CWE Top 25

CWE-94 - Improper Control of Generation of Code (Code Injection)

소프트웨어가 외부 입력을 사용하여 코드를 동적으로 생성하거나 실행할 때 적절한 검증 없이 수행되면 발생합니다. 공격자는 임의의 코드를 삽입하여 애플리케이션의 실행 흐름을 제어하고 서버에서 악성 코드를 실행할 수 있습니다.

CWE-20 - Improper Input Validation

소프트웨어가 입력 데이터를 적절히 검증하지 않아 처리에 영향을 줄 수 있는 데이터가 전달될 때 발생합니다. 입력 검증은 보안의 가장 기본적인 방어 수단이며, 이것이 부재하면 SQL 인젝션, XSS, 버퍼 오버플로우 등 다양한 취약점의 근본 원인이 됩니다.

CWE-77 - Improper Neutralization of Special Elements used in a Command (Command Injection)

외부 입력이 적절한 무력화(neutralization) 없이 명령의 일부로 사용될 때 발생하는 취약점입니다. CWE-78(OS 명령 인젝션)보다 넓은 범위로, 데이터베이스 명령, LDAP 명령 등 다양한 인터프리터 명령에 대한 인젝션을 포함합니다.

CWE-287 - Improper Authentication

소프트웨어가 사용자의 신원을 충분히 검증하지 않거나, 인증 메커니즘에 결함이 있어 우회가 가능한 취약점입니다. 공격자는 인증을 우회하여 다른 사용자로 위장하거나 시스템에 무단 접근할 수 있습니다. 약한 비밀번호 정책, 세션 관리 결함 등이 포함됩니다.

CWE-269 - Improper Privilege Management

소프트웨어가 권한을 적절히 관리하지 않아 공격자가 의도된 것보다 높은 권한을 획득할 수 있는 취약점입니다. 최소 권한 원칙이 적용되지 않거나, 권한 상승 경로가 존재하거나, 불필요하게 높은 권한으로 프로세스가 실행되는 경우 해당됩니다.

CWE-502 - Deserialization of Untrusted Data

애플리케이션이 신뢰할 수 없는 소스로부터 받은 데이터를 검증 없이 역직렬화할 때 발생합니다. 공격자는 악의적으로 조작된 직렬화 데이터를 전송하여 임의 코드 실행, 권한 상승, 서비스 거부 등을 유발할 수 있습니다. Java, PHP, Python, .NET 등 다양한 플랫폼에서 발생합니다.

CWE-200 - Exposure of Sensitive Information to an Unauthorized Actor

소프트웨어가 접근 권한이 없는 행위자에게 민감한 정보를 노출하는 취약점입니다. 에러 메시지에 스택 트레이스나 데이터베이스 쿼리가 포함되거나, API 응답에 불필요한 내부 정보가 포함되거나, 로그 파일에 비밀번호 등 민감 정보가 기록되는 경우 발생합니다. 공격자는 노출된 정보를 활용하여 추가 공격을 수행할 수 있습니다.

CWE-863 - Incorrect Authorization

인가 검증이 존재하지만 잘못 구현되어 공격자가 권한이 없는 리소스나 기능에 접근할 수 있는 취약점입니다. CWE-862(인가 누락)와 달리 인가 로직은 있으나 구현 오류로 인해 우회가 가능한 경우입니다.

CWE-918 - Server-Side Request Forgery (SSRF)

웹 애플리케이션이 사용자가 제공한 URL을 검증하지 않고 서버에서 HTTP 요청을 보낼 때 발생합니다. 공격자는 이를 통해 내부 네트워크의 서비스에 접근하거나, 클라우드 메타데이터 API를 호출하여 자격증명을 탈취할 수 있습니다. 클라우드 환경에서 특히 위험합니다.

CWE-119 - Improper Restriction of Operations within the Bounds of a Memory Buffer

소프트웨어가 메모리 버퍼에 대한 연산을 수행할 때 버퍼의 경계를 넘어서 읽거나 쓰는 것을 방지하지 못하는 취약점입니다. CWE-787(범위 밖 쓰기)과 CWE-125(범위 밖 읽기)의 상위 범주로, 버퍼 오버플로우의 근본 원인입니다.

CWE-476 - NULL Pointer Dereference

프로그램이 NULL일 수 있는 포인터를 검증 없이 역참조할 때 발생합니다. 대부분의 경우 프로그램 충돌(서비스 거부)을 유발하며, 특정 조건에서는 임의 코드 실행도 가능합니다. 에러 처리가 미흡하거나, 함수 반환값을 검증하지 않는 경우 흔히 발생합니다.

CWE-798 - Use of Hard-coded Credentials

소프트웨어에 비밀번호, API 키, 암호화 키 등의 자격증명이 소스 코드에 직접 포함되어 있는 취약점입니다. 소스 코드에 접근할 수 있는 누구나 이 자격증명을 발견할 수 있으며, 바이너리 분석을 통해서도 추출이 가능합니다. 자격증명 변경이 어렵고 모든 설치 인스턴스에 동일한 자격증명이 사용됩니다.

CWE-190 - Integer Overflow or Wraparound

정수 연산의 결과가 해당 자료형이 표현할 수 있는 최대값을 초과하여 예상치 못한 작은 값으로 변환되는 취약점입니다. 이로 인해 버퍼 크기 계산이 잘못되어 힙 오버플로우가 발생하거나, 보안 검사가 우회될 수 있습니다.

CWE-400 - Uncontrolled Resource Consumption

소프트웨어가 CPU, 메모리, 디스크, 네트워크 대역폭 등의 리소스 소비를 적절히 제한하지 않아 서비스 거부(DoS) 공격에 취약해지는 취약점입니다. 공격자는 대량의 요청이나 과도한 리소스를 요구하는 입력을 전송하여 시스템의 가용성을 저하시키거나 서비스를 완전히 중단시킬 수 있습니다.

CWE-306 - Missing Authentication for Critical Function

중요한 기능이나 리소스에 대한 인증이 적용되지 않아 누구나 해당 기능을 사용할 수 있는 취약점입니다. 관리자 기능, 설정 변경, 데이터 삭제 등 중요 작업에 인증이 누락되면 심각한 보안 사고로 이어질 수 있습니다.