CWE - CWE - 297:不当的验证证书与主机不匹配(4.10)

弱点ID: 297

抽象:变体
结构:简单的

视图定制的信息:

描述

产品与主机通信,它提供了一个证书,但是产品不正确确保证书实际上是相关的主机。

扩展描述

即使一个证书是格式良好的,签署和信任链,它可能仅仅是一个有效的证书比网站,不同的网站产品交互。如果没有正确检查证书的寄主专一性的数据,如常见的名称(CN)的主题或主题的替代名称(SAN)扩展的证书,可以重定向或欺骗攻击允许恶意主机的有效证书提供数据,冒充一个可信的主机。为了确保数据完整性,证书必须是有效的,它必须与被访问的网站。

即使产品试图检查主机名,仍有可能不正确检查主机名。例如,攻击者可以创建一个证书的名称始于一个可信的名称,后跟一个空字节,这可能会导致一些基于字符串的比较,只有检查部分包含信任的名字。

这个弱点可能出现在产品使用证书寄,如果产品不验证主机名的证书是固定的。

的关系

此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。

相关的视图”研究概念”(cwe - 1000)

自然	类型	ID	的名字
ChildOf	Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。	295年	不适当的证书验证
ChildOf	类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。	923年	不当限制目的端点的通信通道
PeerOf	变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。	370年	缺少检查证书撤销后最初的检查

相关视图”架构概念”(cwe - 1008)

自然	类型	ID	的名字
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	1014年	确定的演员

模式的介绍

不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。

阶段	请注意
架构和设计	实现:造成这一弱点在建筑安全策略的实施。
实现	当产品使用证书寄,开发人员可能不正确验证证书的所有相关组件之前寄证书。这可以使它困难或昂贵的测试后,将完成。

适用的平台

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

类:不是特定于语言的患病率(待定)

技术

类:移动患病率(待定)

类:不是特定于技术的患病率(待定)

常见的后果

这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。

范围	影响	可能性
访问控制	技术的影响:获得特权或假设的身份数据读取系统的担保证书可能不是从预期的系统。
身份验证其他	技术的影响:其他信任问题提供系统——基于恶意证书可能允许欺骗或重定向攻击。

利用的可能性

高

示范例子

示例1

下面的OpenSSL代码获得一个证书,验证它。

(坏的代码)

例如语言:C

cert = SSL_get_peer_certificate (ssl);
如果(cert & & (SSL_get_verify_result (ssl) = = X509_V_OK)) {

/ /做秘密的事情

}

即使返回X509_V_OK“验证”的一步,这一步不包括检查常见的名字对主机的名称。也就是说,没有保证所需主机的证书。已建立SSL连接可能与恶意主机提供一个有效的证书。

观察到的例子

参考	描述
cve - 2012 - 5810	移动银行应用程序不验证主机名,导致经济损失。
cve - 2012 - 5811	移动应用程序打印文档不验证主机名,允许攻击者读取敏感文件。
cve - 2012 - 5807	软件电子检查不检查主机名,导致经济损失。
cve - 2012 - 3446	云的支持库编写的Python时使用不正确的正则表达式匹配主机名。
cve - 2009 - 2408	Web浏览器并不能正确地处理' \ 0 '字符(空)的通用名称,允许https网站的欺骗。
cve - 2012 - 0867	数据库程序主机名验证期间常见的名字,这样允许欺骗。
cve - 2010 - 2074	不正确的处理' \ 0 '字符(空)主机名验证允许欺骗。
cve - 2009 - 4565	邮件服务器的错误处理' \ 0 '字符(空)主机名验证允许欺骗。
cve - 2009 - 3767	LDAP服务器的错误处理' \ 0 '字符(空)主机名验证允许欺骗。
cve - 2012 - 5806	支付处理模块不验证主机名时使用PHP fsockopen函数连接到贝宝。
cve - 2012 - 2993	智能手机设备不验证主机名,允许欺骗的邮件服务。
cve - 2012 - 5804	电子商务模块不验证主机名时连接到网站付款。
cve - 2012 - 5824	聊天应用程序并不验证主机名,导致失去隐私。
cve - 2012 - 5822	应用程序使用第三方库,不验证主机名。
cve - 2012 - 5819	云存储管理应用程序并不验证主机名。
cve - 2012 - 5817	Java库使用JSSE SSLSocket和SSLEngine类,不验证主机名。
cve - 2012 - 5784	SOAP平台不验证主机名。
cve - 2012 - 5782	PHP库支付不验证主机名。
cve - 2012 - 5780	商人支付SDK不验证主机名。
cve - 2003 - 0355	Web浏览器不验证通用名称,允许https网站的欺骗。

潜在的缓解措施

阶段:体系结构和设计

全面检查证书的主机名,并为用户提供足够的信息问题的性质以及如何进行下去。

实施阶段:

如果证书将被使用,确保所有相关证书之前完全验证证书的属性是固定的,包括主机名。

检测方法

动态分析与人工解释结果

建立一个不可信的端点(例如,一个服务器)的产品将连接。创建一个测试证书,使用无效的主机名,但受信任的CA签署和提供这种证书不受信任的端点。如果产品执行任何操作,而不是断开和报告一个错误,那么这表明主机名没有被检查和测试证书已被接受。

黑盒

当证书将被使用在移动应用程序中,可以考虑使用一个工具如转轮(ref - 955]。这种方法可能会扩展到其他技术。

会员资格

这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。

自然	类型	ID	的名字
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	948年	SFP二级集群:数字证书
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	1353年	OWASP十大2021类别A07:2021 -识别和身份验证失败

分类法映射

映射分类名称	节点ID	适合	映射节点名
扣			未能验证证书寄主专一性的数据

引用

[REF-18]安全软件公司. .“扣应用程序安全性的过程”。2005年。<https://cwe.mitre.org/documents/sources/TheCLASPApplicationSecurityProcess.pdf>。

(ref - 245)马丁·吉奥吉夫Subodh Iyengar, Suman Jana Rishita Anubhai,丹Boneh,维塔利Shmatikov。“世界上最危险的代码:在非浏览器软件验证SSL证书”。2012-10-25。<http://www.cs.utexas.edu/调用shmat / shmat_ccs12.pdf>。

(ref - 243) Sascha Fahl,玛丽安Harbach,托马斯谋杀不久,马修·史密斯和Lars鲍姆加特纳Bernd Freisleben。“夜,马洛里为什么喜欢Android: Android的分析SSL的安全”。2012-10-16。<http://www2.dcsec.uni-hannover.de/files/android/p50-fahl.pdf>。

(ref - 249)肯尼斯·巴拉德。“安全编程OpenSSL API,第2部分:安全握手”。2005-05-03。<http://www.ibm.com/developerworks/library/l-openssl2/index.html>。

(ref - 250)埃里克Rescorla。“介绍OpenSSL编程(第一部分)”。2001-10-05。<http://www.rtfm.com/openssl-examples/part1.pdf>。

迈克尔•霍华德(REF-44)大卫·勒布朗和Viega约翰。软件安全的“24宗罪”。PKI的“罪23:使用不当,尤其是SSL。”Page 347. McGraw-Hill. 2010.

(ref - 955)克里斯·麦克马洪石头,汤姆Chothia和弗拉维奥·d·加西亚。“转轮:半自动检测将没有主机名验证”。<http://www.cs.bham.ac.uk/ garciaf /出版/ spinner.pdf>。URL验证:2018-01-16。

内容的历史

提交
提交日期	提交者	组织
2006-07-19	扣
2006-07-19
修改
修改日期	修饰符	组织
2008-07-01	Eric Dalci	Cigital
2008-07-01	更新Time_of_Introduction
2008-09-08	CWE内容团队	主教法冠
2008-09-08	更新Common_Consequences、关系、Other_Notes Taxonomy_Mappings
2009-03-10	CWE内容团队	主教法冠
2009-03-10	更新描述、名称、关系
2009-05-27	CWE内容团队	主教法冠
2009-05-27	更新Demonstrative_Examples
2009-07-27	CWE内容团队	主教法冠
2009-07-27	更新Demonstrative_Examples、人际关系
2010-12-13	CWE内容团队	主教法冠
2010-12-13	更新描述,Other_Notes
2011-06-01	CWE内容团队	主教法冠
2011-06-01	更新Common_Consequences
2012-05-11	CWE内容团队	主教法冠
2012-05-11	更新引用关系
2013-02-21	CWE内容团队	主教法冠
2013-02-21	更新Applicable_Platforms、Demonstrative_Examples、描述、名称、Observed_Examples,引用关系类型
2013-07-17	CWE内容团队	主教法冠
2013-07-17	更新的关系
2014-07-30	CWE内容团队	主教法冠
2014-07-30	更新的关系
2015-12-07	CWE内容团队	主教法冠
2015-12-07	更新的关系
2017-11-08	CWE内容团队	主教法冠
2017-11-08	更新Demonstrative_Examples Modes_of_Introduction、引用关系
2018-01-16	CWE内容团队	主教法冠
2018-01-16	集成的缓解措施和检测方法基于反馈的证书寄CWE研究员在2017年12月上市。
2018-03-27	CWE内容团队	主教法冠
2018-03-27	更新Common_Consequences、描述Detection_Factors、Modes_of_Introduction Potential_Mitigations,引用,Time_of_Introduction
2019-06-20	CWE内容团队	主教法冠
2019-06-20	更新的关系
2019-09-19	CWE内容团队	主教法冠
2019-09-19	更新Demonstrative_Examples
2020-02-24	CWE内容团队	主教法冠
2020-02-24	更新Applicable_Platforms、引用关系
2021-10-28	CWE内容团队	主教法冠
2021-10-28	更新的关系
2022-10-13	CWE内容团队	主教法冠
2022-10-13	更新的引用
2023-01-31	CWE内容团队	主教法冠
2023-01-31	Applicable_Platforms更新,描述、Detection_Factors Modes_of_Introduction
以前的条目名称
改变日期	以前的条目名称
2009-03-10	未能验证证书寄主专一性的数据

2013-02-21	不当的寄主专一性的证书验证数据

常见的弱点枚举

cwe - 297:不当的验证证书与主机不匹配


	站点地图\|使用条款\|隐私政策\|联系我们\| 使用常见的弱点枚举(CWE)和相关的引用从这个网站的使用条款。CWE赞助的美国国土安全部(DHS)网络和基础设施安全机构(CISA)和管理的国土安全系统工程和发展研究所这是由(HSSEDI)manbetx客户端首页(斜方)。版权©2006 - 2023,斜方公司。manbetx客户端首页CWE、水煤浆、CWRAF, CWE标志是斜方公司的商标。manbetx客户端首页