CWE

常见的弱点枚举

一个由社区开发的软件&硬件缺陷类型的列表
2021 CWE最重要的硬件的弱点
CWE最危险的弱点
家>CWE列表> CWE -个人字典定义(4.10)
ID

cwe - 1277:固件没有可更新

弱点ID: 1277
抽象:基地
结构:简单的
视图定制的信息:
+描述
产品不提供其用户能够更新或修补其固件解决可能出现的任何缺陷或弱点。
+扩展描述
没有补丁或更新固件的能力,消费者将离开容易受到剥削的任何已知的漏洞,或任何的漏洞被发现在未来。这可以让消费者永久设备的风险在整个一生中,这可能是几年或者几十年。一些外部防护措施和移植可能是用来帮助预防或减少恶意攻击的风险,但根疲软不能纠正。
+的关系
部分帮助此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
+相关的视图”研究概念”(cwe - 1000)
自然 类型 ID 的名字
ChildOf 基地Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 1329年 依赖组件,它不是可更新
部分帮助此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
+相关观点“硬件设计”(cwe - 1194)
自然 类型 ID 的名字
MemberOf 类别类别——CWE条目包含一组其他条目,共享一个共同的特点。 1208年 横切问题
+模式的介绍
部分帮助不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。
阶段 请注意
需求 需求开发可能不考虑更新的重要性,在产品的生命周期,也可以不选择的能力由于费用或速度等市场的担忧。
架构和设计 缺乏规划在结构开发和设计,或外部压力速度等市场,可以忽略更新的能力。
实现 可以通过监督在实现期间出现的弱点。
+适用的平台
部分帮助该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

类:不是特定于语言的患病率(待定)

操作系统

类:不使用患病率(待定)

体系结构

类:不是特定于体系结构的患病率(待定)

技术

类:不是特定于技术的患病率(待定)

+常见的后果
部分帮助这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
范围 影响 可能性
保密
完整性
访问控制
身份验证
授权

技术的影响:获得特权或假设的身份;旁路保护机制;执行未经授权的代码或命令;DoS:崩溃,退出或重新启动

如果攻击者可以识别一个可利用的漏洞在一个设备,没有修补的方法,这次袭击可能是用来对付整个类的设备。
 媒介
+示范例子

示例1

冰箱有一个网络接口,用于提醒制造商的官方目的时,冰箱检测到一个故障。因为设备连接到互联网,冰箱是黑客的目标可能希望使用其他设备可能更邪恶的目的。

(坏的代码)
例如语言:其他
冰箱里没有打补丁和破解成为呕吐者的电子邮件垃圾邮件。
(好的代码)
例如语言:其他
设备自动补丁,并提供相当大的防止被攻击。
+观察到的例子
参考 描述
链:网络附加存储(NAS)设备有一个关键的操作系统命令注入(cwe - 78)是积极利用漏洞,将物联网设备变成一个僵尸网络,但有些产品不能修补“end-of-support”和(cwe - 1277)。(ref - 1097]
硬件“智能锁”弱键生成,允许攻击者窃取BLE嗅探的关键,但设备的固件不能升级,因此仍然脆弱的(ref - 1095]。
+潜在的缓解措施

阶段:需求

指定需求包括更新固件的能力。包括完整性检查和认证,以确保不可信固件不能安装。

阶段:体系结构和设计

设计设备,以便更新固件。确保设计指定如何分发更新并确保其完整性和身份验证。

实施阶段:

实现必要的功能,以允许固件更新。
+弱点Ordinalities
Ordinality 描述
主
(其他弱点的弱点存在独立的)
+检测方法

手动分析

创建一个新的安装当前构建与未成年人的引导映像版本号变化。使用标准的安装方法更新引导映像。验证小版本号已经改变了。创建一个虚假的形象。确认启动更新程序不会安装假形象和生成一个错误消息或同等“无效的形象”。

有效性:高

体系结构或设计审查

检查消费者或维护者文档架构/设计文档,或原始需求,确保文档包括细节如何更新固件。

有效性:温和

手动动态分析

确定有一个缺乏能力更新只读存储器(ROM)结构。这可能表现为最新的固件版本和当前版本的区别在设备里。

有效性:高
+会员资格
部分帮助这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。
自然 类型 ID 的名字
MemberOf 视图视图——CWE条目的一个子集,它提供了一种检查CWE的内容。两个主要视图结构片(列表)和图(包含条目之间的关系)。 1343年 弱点在2021 CWE最重要的硬件缺陷列表
+笔记

术语

“固件”一词没有一个广泛认同的定义,所以可能会有变化在如何解释这个CWE条目映射。
+引用
马修·休斯(ref - 1095)。“坏消息:万博下载包KeyWe智能锁很容易绕过和不能固定”。2019-12-11。<https://www.theregister.com/2019/12/11/f_secure_keywe/>。
亚历克斯Scroxton (ref - 1096)。“警钟响,物联网是聆听”。<https://www.computerweekly.com/万博下载包news/252475324/Alarm-bells-ring-the-IoT-is-listening>。
布莱恩·克雷布斯(ref - 1097)。“合勤科技缺陷大国新Mirai物联网僵尸网络病毒”。2020-03-20。<https://krebsonsecurity.com/2020/03/zxyel-flaw-powers-new-mirai-iot-botnet-strain/>。
+内容的历史
+提交
提交日期 提交者 组织
2020-05-13 Paul a . Wortman 富国银行(Wells Fargo)
+贡献
贡献的日期 贡献者 组织
2021-10-12 Paul a . Wortman 富国银行(Wells Fargo)
提供检测方法和观察到的例子
+修改
修改日期 修饰符 组织
2020-08-20 CWE内容团队 主教法冠
更新Common_Consequences Demonstrative_Examples、描述Potential_Mitigations
2020-12-10 CWE内容团队 主教法冠
更新描述、人际关系
2021-03-15 CWE内容团队 主教法冠
更新Maintenance_Notes
2021-07-20 CWE内容团队 主教法冠
更新Demonstrative_Examples Maintenance_Notes
2021-10-28 CWE内容团队 主教法冠
更新Common_Consequences、描述Detection_Factors、Maintenance_Notes Modes_of_Introduction, Observed_Examples,引用关系,Terminology_Notes Weakness_Ordinalities
2022-04-28 CWE内容团队 主教法冠
更新Detection_Factors Observed_Examples Potential_Mitigations,关系
2022-10-13 CWE内容团队 主教法冠
更新Related_Attack_Patterns
更多的信息是可用的,请选择一个不同的过滤器。
页面最后更新:2023年1月31日

使用常见的弱点枚举(CWE)和相关的引用从这个网站的使用条款。CWE赞助的美国国土安全部(DHS)网络和基础设施安全机构(CISA)和管理的国土安全系统工程和发展研究所这是由(HSSEDI)manbetx客户端首页(斜方)。版权©2006 - 2023,斜方公司。manbetx客户端首页CWE、水煤浆、CWRAF, CWE标志是斜方公司的商标。manbetx客户端首页