 描述
产品应有的功能暴露某些参与者的信息按照开发人员的安全政策,但这些信息被认为是敏感的目的根据安全策略对其他利益相关者如产品的管理员,用户,或其他的信息处理。
扩展描述
在处理信息时,开发人员必须考虑是否被视为敏感的信息不同的利益相关者,如用户或管理员。每个利益相关者有效目的有自己的安全策略,预计产品维护。当开发人员不会将这些信息作为敏感,可以介绍一个漏洞,违背了预期产品的用户。
的关系
 此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关的视图”研究概念”(cwe - 1000)
| 自然 |
类型 |
ID |
的名字 |
| ChildOf |
 类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。 |
200年 |
暴露敏感信息的未经授权的演员 |
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关观点“软件开发”(cwe - 699)
| 自然 |
类型 |
ID |
的名字 |
| MemberOf |
 类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
199年 |
信息管理错误 |
模式的介绍
不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。
| 阶段 |
请注意 |
| 政策 |
这可能发生在当产品的政策并不占所有利益相关方,或其他利益相关者的政策并不正确解释。 |
| 需求 |
这可以发生在需求没有明确占所有利益相关方。 |
| 架构和设计 |
通信或数据交换框架可以选择交换或提供比严格需要更多信息。 |
| 实现 |
这可能发生在当开发者不正确跟踪敏感信息的流动,以及它是如何暴露,例如,通过一个API。 |
常见的后果
这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
示范例子
示例1
这段代码在网页上显示一些信息。
社会安全号码:< % = ssn % > < / br >信用卡号码:< % = ccn % >
代码显示一个用户的信用卡和社会安全号码,即使他们并不是绝对必要的。
观察到的例子
| 参考 |
描述 |
|
|
脚本调用phpinfo () |
|
|
脚本调用phpinfo () |
|
|
脚本调用phpinfo () |
|
|
脚本调用phpinfo () |
|
|
脚本调用phpinfo () |
|
|
产品列表dll和完整的路径名。 |
|
|
Telnet协议允许服务器从客户获得敏感的环境信息。 |
|
|
Telnet协议允许服务器从客户获得敏感的环境信息。 |
会员资格
这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。
笔记
理论
脆弱性理论来说,这包括目的情况下,开发人员的政策允许的信息可用,但是通用的信息可能是违反政策的产品管理员应该控制信息被认为是敏感的,因此不应该暴露。
维护
这个条目是考虑弃用。许多相关条目信息重叠曝光。保存这个条目可能不是必要的,因为其他关键利益相关者政策覆盖在其它地方,如个人隐私泄露 cwe - 359)重要的系统管理员和系统级曝光( cwe - 497)。
分类法映射
| 映射分类名称 |
节点ID |
适合 |
映射节点名 |
| 千鸟 |
|
|
目的信息泄漏 |
|
描述
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
