CWE

普遍的弱点

A Community-Developed List of Software & Hardware Weakness Types
2021 CWE最重要的硬件弱点
CWE前25个最危险的弱点
家>CWE列表>CWE- Individual Dictionary Definition (4.10)
ID

CWE-224: Obscured Security-relevant Information by Alternate Name

弱点ID：224
抽象：根据
结构：简单的
查看自定义信息：
+描述
该产品根据受影响实体的替代名称记录相关的信息，而不是规范名称。
+关系
部分帮助该表显示了与该弱点相关的弱点和高级类别。这些关系定义为childof，parentof，ementof，并深入了解可能存在于较高和较低抽象水平的类似项目。此外，定义了诸如Peerof和Canalsobe之类的关系，以显示用户可能想要探索的类似弱点。
+与观点“研究概念”相关（CWE-1000）
自然 Type ID 姓名
Childof 班级班级- a weakness that is described in a very abstract fashion, typically independent of any specific language or technology. More specific than a Pillar Weakness, but more general than a Base Weakness. Class level weaknesses typically describe issues in terms of 1 or 2 of the following dimensions: behavior, property, and resource. 221 信息丢失或遗漏
部分帮助该表显示了与该弱点相关的弱点和高级类别。这些关系定义为childof，parentof，ementof，并深入了解可能存在于较高和较低抽象水平的类似项目。此外，定义了诸如Peerof和Canalsobe之类的关系，以显示用户可能想要探索的类似弱点。
+Relevant to the view "Software Development" (CWE-699)
自然 Type ID 姓名
成员 CategoryCategory - a CWE entry that contains a set of other entries that share a common characteristic. 1210 审核 /记录错误
部分帮助该表显示了与该弱点相关的弱点和高级类别。这些关系定义为childof，parentof，ementof，并深入了解可能存在于较高和较低抽象水平的类似项目。此外，定义了诸如Peerof和Canalsobe之类的关系，以显示用户可能想要探索的类似弱点。
+Relevant to the view "Architectural Concepts" (CWE-1008)
自然 Type ID 姓名
成员 CategoryCategory - a CWE entry that contains a set of other entries that share a common characteristic. 1009 审计
+介绍模式
部分帮助引言的不同模式提供了有关如何以及何时引入这种弱点的信息。该阶段识别可能发生介绍的生命周期中的一个点，而音符提供了与给定阶段中引言有关的典型情况。
Phase 笔记
建筑和设计
执行 实现：这种弱点是在实施建筑安全策略期间引起的。
Operation
+适用的平台
部分帮助该清单显示了可能出现的弱点的可能区域。这些可能适用于特定的命名语言，操作系统，体系结构，范式，技术或一类此类平台。该平台与给定弱点出现在该实例的频率一起列出。

语言

班级：不是特定语言的（不确定的患病率）

+常见后果
部分帮助该表指定与弱点相关的不同个人后果。该范围确定了违反的应用程序安全区域，而影响描述了如果对手成功利用这一弱点，就会产生负面的技术影响。其可能性提供了有关预期相对于列表中其他后果的特定后果的可能性的信息。例如，可能会利用弱点来实现一定的影响，但很可能会利用它来实现不同的影响。
范围 Impact 可能性
非替代
访问控制

技术影响：隐藏活动；获得特权或假定身份
+Demonstrative Examples

示例1

This code prints the contents of a file if a user has permission.

（不良代码）
示例语言：PHP
函数readfile（$ filename）{
$user = getCurrentUser();
$realFile = $filename;

//解决文件如果其符号链接
如果（is_link（$ filename））{
$ realfile = readlink（$ filename）;
}

if（fileowner（$ realfile）== $ user）{
echo file_get_contents（$ realfile）;
返回;
}
else{
回声“访问被拒绝”；
writeLog($user . ' attempted to access the file '. $filename . ' on '. date('r'));
}
}

当代码记录不良访问尝试时，它将记录文件提供的用户名称，而不是规范化文件名。攻击者可以通过将脚本命名为试图访问文件的链接的名称来掩盖目标。另请注意，此代码包含IS_LINK（）和readlink（）函数之间的竞赛条件（CWE-363）。

+Observed Examples
Reference 描述
攻击者在与文件的硬链接上执行恶意动作，从而掩盖了真实的目标文件。
+Memberships
部分帮助此成员关系表显示了其他CWE类别和视图，将此弱点称为成员。该信息通常可用于理解弱点适合外部信息源的何处。
自然 Type ID 姓名
成员 CategoryCategory - a CWE entry that contains a set of other entries that share a common characteristic. 997 SFP次要集群：信息丢失
+分类映射
映射的分类名称 节点ID Fit 映射的节点名称
plover 通过替代名称模糊的安全性信息
+References
[REF-7] Michael Howard and David LeBlanc. "Writing Secure Code". 2nd Edition. Microsoft Press. 2002-12-04. <https://www.microsoftpressstore.com/store/writing-secure-code-9780735617223>。
+内容历史记录
+Submissions
Submission Date 提交者 组织
2006-07-19 plover
+修改
修改日期 Modifier 组织
2008-07-01 埃里克·达奇（Eric Dalci） Cigital
更新的time_of_introduction
2008-09-08 CWE内容团队 MITER
更新的关系, Taxonomy_Mappings
2011-03-29 CWE内容团队 MITER
updated Demonstrative_Examples
2011-06-01 CWE内容团队 MITER
updated Common_Consequences
2012-05-11 CWE内容团队 MITER
更新的引用, Relationships
2012-10-30 CWE内容团队 MITER
更新的势_MINEIGATIONS
2014-07-30 CWE内容团队 MITER
更新的关系
2017-11-08 CWE内容团队 MITER
updated Applicable_Platforms, Demonstrative_Examples, Modes_of_Introduction, References, Relationships
2018-03-27 CWE内容团队 MITER
更新的引用
2020-02-24 CWE内容团队 MITER
更新的关系
2023-01-31 CWE内容团队 MITER
更新的描述
More information is available — Please select a different filter.
页面最后更新：2023年1月31日

Use of the Common Weakness Enumeration (CWE) and the associated references from this website are subject to the使用条款。CWE由美国国土安全部(DHS)网络安全和基础设施安全局（CISA），由国土安全系统工程和开发研究所(HSSEDI) which is operated bymanbetx客户端首页(MITRE). Copyright © 2006–2023, The MITRE Corporation. CWE, CWSS, CWRAF, and the CWE logo are trademarks of The MITRE Corporation.