CWE - CWE - 1269:产品发布在Non-Release配置(4.12)

弱点ID: 1269

抽象:基地
结构:简单的

视图定制的信息:

的用户感兴趣的更多的概念方面的一个弱点。例如:教育者,技术作家和项目/项目经理。用户关心的实际应用和细节的本质弱点以及如何预防它的发生。例子:工具开发人员、安全人员、pen-testers事件反应分析师。对于用户映射一个问题CWE / CAPEC id,即。,找到最合适的CWE为一个特定的问题(例如,CVE记录)。例如:工具开发人员、安全人员。用户希望看到所有可用的信息CWE / CAPEC条目。为用户谁想要定制显示细节。

描述

产品发布的市场是在预生产或制造发布配置。

扩展描述

产品在生产前或生产阶段有很多配置调试钩子和调试功能,包括但不限于:

覆盖能力/绕过各种密码检查(包括身份验证、授权和完整性)
能够读/写/修改/转储内部状态(包括寄存器和内存)
改变系统配置的能力
能够运行隐藏或私人命令,不允许在生产过程中(如它们公开IP)。

上面的决不是一个详尽的清单,但它暗指更大的能力和更大的漏洞的产品在生产前或生产状态。

复杂性增加当涉及多个当事人在执行测试之前最后的生产版本。例如,芯片制造商可能制造一个芯片和运行自己的生产前测试,之后的芯片将交付给原始设备制造商(OEM),现在谁会运行第二组不同的生产前测试相同的芯片。只有在这两个组的活动完成后,制造业总体阶段可以称为“完整”和“制造业完成”融合吹。然而,如果OEM忘记打击制造完整的融合,则系统仍然在制造阶段,呈现系统暴露和脆弱。

的关系

此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。

相关的视图”研究概念”(cwe - 1000)

自然	类型	ID	的名字
ChildOf	支柱——一个弱点是最抽象类型的弱点和代表一个主题类/基地/变体相关弱点。支柱是不同于一个类别作为支柱技术上仍然是一种弱点,描述了一个错误,而一个类别代表一个共同特征用于组相关的东西。	693年	保护机制失败

相关观点“硬件设计”(cwe - 1194)

自然	类型	ID	的名字
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	1195年	制造和生命周期管理问题

模式的介绍

不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。

阶段	请注意
实现
集成
制造业

适用的平台

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

硬件描述语言(VHDL)患病率(待定)

Verilog患病率(待定)

类:编译患病率(待定)

操作系统

类:不使用患病率(待定)

体系结构

类:不是特定于体系结构的患病率(待定)

技术

其他患病率(待定)

类:不是特定于技术的患病率(待定)

常见的后果

这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。

范围	影响	可能性
保密完整性可用性访问控制问责制身份验证授权不可抵赖性	技术的影响:其他	高

示范例子

示例1

这个例子展示了会发生什么当预生产系统可用于生产。

(坏的代码)

假设所有内存芯片制造商的扫描(包含chipmaker-level秘密)在制造阶段,和芯片制造商和原始设备制造商(OEM)标志着制造阶段的结束吹制造完整的融合。现在,假设谁吹制造完成熔丝无意中忘记执行步骤保险丝烧断了。

攻击者将可以扫描所有的内存(包含chipmaker-level秘密)。

(好的代码)

打击制造完整的融合。

观察到的例子

参考

描述

cve - 2019 - 13945

关于ssa - 686531,硬件制造访问基于s7 - 1200和s7 - 200智能发生。漏洞已被确定在介绍SIMATIC s7 - 1200 CPU家庭(包括SIPLUS变体)(所有版本),介绍SIMATIC s7 - 200 CPU智能家庭(所有版本)。有一个访问模式生产期间使用s7 - 1200 cpu,允许额外的诊断功能。安全漏洞可能被攻击者利用,在启动过程中对UART接口的物理访问。咨询发布的时候,没有公共利用这个安全漏洞。

cve - 2018 - 4251

笔记本电脑与英特尔芯片组被发现在生产模式下运行。这些信息被报道OEM之后,脆弱性(cve - 2018 - 4251)是修补禁止访问接口。

潜在的缓解措施

实施阶段:

确保存在一个标记表示制造业完成阶段,制造业完成标记更新制造完成阶段(即。,制造完整的保险丝被吹)。

阶段:集成

确保存在一个标记表示制造业完成阶段,制造业完成标记更新制造完成阶段(即。,制造完整的保险丝被吹)。

生产阶段:

确保存在一个标记表示制造业完成阶段,制造业完成标记更新制造完成阶段(即。,制造完整的保险丝被吹)。

会员资格

这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。

自然	类型	ID	的名字
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	1413年	分类:综合保护机制的失败

脆弱性映射笔记

用法:允许

(CWE ID可以用来映射到现实世界的漏洞)

原因:可接受的使用

理由是:

这CWE条目底部的抽象级别,这是一个首选的抽象级别映射到漏洞的根本原因。

评论:

仔细阅读这两个名称和描述,以确保此映射是一个适当的配合。不要试图“力”映射到底层基础/变体只是遵守这首选的抽象级别。

常见的弱点枚举

cwe - 1269:产品在Non-Release发布配置


	站点地图\|使用条款\|隐私政策\|联系我们\| 使用常见的弱点枚举(CWE)和相关的引用从这个网站的使用条款。CWE赞助的美国国土安全部(DHS)网络和基础设施安全机构(CISA)和管理的国土安全系统工程和发展研究所这是由(HSSEDI)manbetx客户端首页(斜方)。版权©2006 - 2023,斜方公司。manbetx客户端首页CWE、水煤浆、CWRAF, CWE标志是斜方公司的商标。manbetx客户端首页

常见的弱点枚举

cwe - 1269:产品在Non-Release发布配置

编辑自定义过滤器