 描述
扩展描述
密码管理问题发生在当一个密码明文存储在应用程序的属性,配置文件或内存。将明文密码存储在一个配置文件允许任何人谁可以读取文件有密码保护的资源的访问。在某些情况下,甚至在内存中存储一个明文密码被认为是一个安全风险如果不清除密码后立即使用它。
的关系
 此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关的视图”研究概念”(cwe - 1000)
| 自然 |
类型 |
ID |
的名字 |
| ChildOf |
 类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。 |
522年 |
保护不足的凭证 |
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关观点“软件开发”(cwe - 699)
| 自然 |
类型 |
ID |
的名字 |
| MemberOf |
 类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
255年 |
凭证管理错误 |
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
 相关视图”架构概念”(cwe - 1008)
| 自然 |
类型 |
ID |
的名字 |
| MemberOf |
类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
1013年 |
加密数据 |
模式的介绍
不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。
| 阶段 |
请注意 |
| 架构和设计 |
遗漏:这个弱点是由于缺少一个安全策略在体系结构和设计阶段。 |
| 架构和设计 |
开发人员有时认为他们不能保护应用程序访问的人配置,但这种信念使攻击者的工作更容易。 |
常见的后果
这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
利用的可能性
示范例子
示例1
下面的代码从一个属性文件读取密码,使用密码来连接到数据库。
…
属性道具= new属性();
道具。加载(新FileInputStream (“config.properties”));
字符串密码= prop.getProperty(“密码”);
DriverManager。getConnection (url, usr、密码);
…
这段代码将成功运行,但人都访问配置。属性可以阅读密码的价值。如果一个狡猾的员工可以访问这些信息,他们可以使用它来进入系统。
示例2
下面的代码从注册表中读取密码,并使用密码来创建一个新的网络凭据。
…
字符串密码= regKey.GetValue(万能钥匙).toString ();
NetworkCredential netCred = new NetworkCredential(用户名、密码域);
…
这段代码将成功运行,但人都访问注册表键用于存储密码的密码可以阅读价值。如果一个狡猾的员工可以访问这些信息,他们可以使用它来进入系统
示例3
下面的例子展示的部分属性和配置文件为Java和ASP。网络应用程序。文件包含用户名和密码信息,但他们在明文存储。
这个Java示例显示了一个属性文件明文用户名/密码对。
# Java Web应用程序ResourceBundle属性文件
…
webapp.ldap.username = secretUsername
webapp.ldap.password = secretPassword
…
下面的例子展示了一个配置文件的一部分ASP。网络应用程序。这个配置文件包含连接到数据库的用户名和密码信息,但对存储在明文。
… < connectionStrings >
<添加名称= connectionString =“ud_DEV connectDB = uDB;uid = db2admin;pwd =密码;dbalias = uDB; System.Data providerName =。Odbc " / > < / connectionStrings > …
用户名和密码信息不应包括在一个配置文件或一个属性文件明文这将允许任何人可以读取文件访问资源。如果可能的话,这个信息加密。
示例4
2022年,OT:冰崩研究调查了10个不同的操作技术(OT)供应商的产品。研究人员报道,56个漏洞,说产品是“不安全的设计”(ref - 1283]。如果这些漏洞利用,往往让对手改变产品运营,从拒绝服务改变产品执行的代码。因为这些产品经常被应用于行业,如电力、电气、水,和其他人,甚至会出现安全问题。
至少有一个产品在明文存储密码。
观察到的例子
| 参考 |
描述 |
|
|
远程终端装置(RTU)使用一个驱动程序依赖于存储在明文密码。 |
潜在的缓解措施
阶段:体系结构和设计
避免将密码存储在方便的位置。 |
阶段:体系结构和设计
考虑存储密码散列存储的密码作为替代明文。 |
|
程序员可能试图补救密码管理问题用一个编码函数模糊的密码,如base 64编码,但这一努力并不能充分保护密码,因为编码可以很容易检测和解码。
|
弱点Ordinalities
| Ordinality |
描述 |
|
主 |
(其他弱点的弱点存在独立的) |
检测方法
自动静态分析
自动静态分析,通常被称为静态应用程序安全性测试(科协),可以找到一些实例的这个弱点分析源代码或二进制/编译后的代码,而不必执行它。通常情况下,这是通过建立一个模型的数据流和控制流,然后寻找潜在攻击模式,连接“源”与“下沉”(输入)的起源(目的地数据与外部组件交互,较低的层,如操作系统,等等)。
|
会员资格
这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。
脆弱性映射笔记
用法:允许
(CWE ID可以用来映射到现实世界的漏洞) |
原因:可接受的使用 |
理由是: 这CWE条目底部的抽象级别,这是一个首选的抽象级别映射到漏洞的根本原因。 |
评论: 仔细阅读这两个名称和描述,以确保此映射是一个适当的配合。不要试图“力”映射到底层基础/变体只是遵守这首选的抽象级别。 |
分类法映射
| 映射分类名称 |
节点ID |
适合 |
映射节点名 |
| 7有害的王国 |
|
|
密码管理 |
| 软件故障模式 |
SFP23 |
|
公开的数据 |
引用
|
|
|
[ref - 207]约翰Viega和Gary McGraw。“构建安全软件:如何避免安全问题的正确方式”。1版。addison - wesley。2002年。 |
|
|
更多的信息是可用的,请编辑自定义过滤器或选择一个不同的过滤器。
|
描述
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关视图”架构概念”(cwe - 1008)
