CWE - CWE - 312:明文存储的敏感信息(4.12)

弱点ID: 312

抽象:基地
结构:简单的

视图定制的信息:

的用户感兴趣的更多的概念方面的一个弱点。例如:教育者,技术作家和项目/项目经理。用户关心的实际应用和细节的本质弱点以及如何预防它的发生。例子:工具开发人员、安全人员、pen-testers事件反应分析师。对于用户映射一个问题CWE / CAPEC id,即。,找到最合适的CWE为一个特定的问题(例如,CVE记录)。例如:工具开发人员、安全人员。用户希望看到所有可用的信息CWE / CAPEC条目。为用户谁想要定制显示细节。

描述

内的产品在明文存储敏感信息资源可能会访问另一个控制范围。

扩展描述

因为信息存储在明文(即。未加密),攻击者可能会阅读它。即使信息编码的方式不是人类可读的,使用某些技术可以确定哪些编码,然后解码的信息。

当组织采用云服务,它可以攻击者更容易从任何地方访问数据在互联网上。

在某些系统/环境如云,“双重加密”的使用(在软件和硬件层),可能需要和开发人员可能只负责两层,而不是共同责任与更广泛的系统管理员/环境。

的关系

此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。

相关的视图”研究概念”(cwe - 1000)

自然	类型	ID	的名字
ChildOf	类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。	922年	不安全的存储敏感信息
ChildOf	类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。	311年	失踪的敏感数据的加密
ParentOf	变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。	313年	明文存储在文件或磁盘
ParentOf	变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。	314年	明文存储在注册表中
ParentOf	变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。	315年	明文存储敏感信息的Cookie
ParentOf	变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。	316年	明文存储敏感信息在内存中
ParentOf	变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。	317年	明文存储敏感信息的GUI
ParentOf	变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。	318年	明文存储敏感信息的可执行文件
ParentOf	变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。	526年	明文存储在一个环境变量的敏感信息

相关观点“软件开发”(cwe - 699)

自然	类型	ID	的名字
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	199年	信息管理错误

简化映射的相关视图”缺点漏洞发布”(cwe - 1003)

自然	类型	ID	的名字
ChildOf	类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。	311年	失踪的敏感数据的加密

相关视图”架构概念”(cwe - 1008)

自然	类型	ID	的名字
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	1013年	加密数据

模式的介绍

不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。

阶段	请注意
架构和设计	遗漏:这个弱点是由于缺少一个安全策略在体系结构和设计阶段。

适用的平台

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

类:不是特定于语言的患病率(待定)

技术

类:云计算患病率(待定)

类:ICS /不患病率(待定)

类:移动患病率(待定)

常见的后果

这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。

范围	影响	可能性
保密	技术的影响:读取应用程序数据攻击者访问系统可以读取敏感信息存储在明文。

示范例子

示例1

下面的代码片段将明文用户帐户ID存储在浏览器cookie。

(坏的代码)

例如语言:Java

响应。addCookie(新饼干(“userAccountID”, acctID);

因为帐户ID在明文,用户的账户信息暴露如果他们的电脑被攻击者。

示例2

这段代码将用户的登录信息写入cookie,这样用户不需要稍后再登录。

(坏的代码)

例如语言:PHP

函数persistLogin(用户名、密码美元){

$ data =数组(美元= >用户名“用户名”,“密码”= >美元密码);
setcookie(“用户数据”,元数据);

}

代码将用户的用户名和密码存储在cookie中明文用户的机器。这让用户的登录信息如果他们的电脑被攻击者。即使在不损害用户的机器,这个弱点结合跨站点脚本(cwe - 79)可能允许攻击者远程复制饼干。

也注意这个示例代码展示明文存储在一个Cookie (cwe - 315)。

示例3

下面的代码尝试建立连接、读取密码,然后将其存储到缓冲区。

(坏的代码)

例如语言:C

服务器。sin_family = AF_INET;惠普= gethostbyname (argv [1]);
如果(hp = = NULL)错误(“未知主机”);
memcpy ((char *)及服务器。惠普sin_addr (char *) - > h_addr,惠普- > h_length);
如果(命令行参数个数< 3)端口= 80;
其他端口=(无符号短)atoi (argv [3]);
服务器。sin_port = htons(港口);
如果(连接(袜子,(struct sockaddr *)及服务器,sizeof服务器)< 0)错误(“连接”);
…
在((n =读(袜子,缓冲区,BUFSIZE-1)) ! = 1) {

写(目前password_buffer n);
…

而成功,程序不加密数据写到缓冲区之前,可能暴露在未经授权的演员。

示例4

下面的例子展示的部分属性和配置文件为Java和ASP。网络应用程序。文件包含用户名和密码信息,但他们在明文存储。

这个Java示例显示了一个属性文件明文用户名/密码对。

(坏的代码)

例如语言:Java

# Java Web应用程序ResourceBundle属性文件
…
webapp.ldap.username = secretUsername
webapp.ldap.password = secretPassword
…

下面的例子展示了一个配置文件的一部分ASP。网络应用程序。这个配置文件包含连接到数据库的用户名和密码信息,但对存储在明文。

(坏的代码)

例如语言:ASP.NET

…
< connectionStrings >

<添加名称= connectionString =“ud_DEV connectDB = uDB;uid = db2admin;pwd =密码;dbalias = uDB; System.Data providerName =。Odbc " / >

< / connectionStrings >
…

用户名和密码信息不应包括在一个配置文件或一个属性文件明文这将允许任何人可以读取文件访问资源。如果可能的话,这个信息加密。

示例5

2022年,OT:冰崩研究调查了10个不同的操作技术(OT)供应商的产品。研究人员报道,56个漏洞,说产品是“不安全的设计”(ref - 1283]。如果这些漏洞利用,往往让对手改变产品运营,从拒绝服务改变产品执行的代码。因为这些产品经常被应用于行业,如电力、电气、水,和其他人,甚至会出现安全问题。

至少有一个产品在明文存储密码。

例子6

2021年,一个网站由PeopleGIS存储数据我们市在亚马逊网络服务(AWS)简单存储服务(S3)桶。

(坏的代码)

例如语言:其他

安全研究人员发现86 S3 bucket可以访问没有身份验证(cwe - 306)和存储数据加密(cwe - 312)。这些桶暴露超过1000 GB的数据和160万个文件包括物理地址、电话号码、税务文件,驾照的照片id等等。ref - 1296][ref - 1295]

虽然没有公开披露的数据是如何保护后发现,多种选择可以考虑。

(好的代码)

例如语言:其他

敏感信息可能已经被确保保护桶没有公共读访问,例如,通过启用s3-account-level-public-access-blocks-periodic规则阻止公共访问。此外,数据可能是加密静止S3使用适当的设置,例如,通过启用服务器端加密使用s3-bucket-server-side-encryption-enabled设置。其他设置可以进一步防止桶数据泄露。(ref - 1297]

例7

考虑以下PowerShell命令加密的示例Azure存储对象的范围。在第一个示例中,一组加密范围存储账户。

(坏的代码)

例如语言:壳牌

New-AzStorageEncryptionScope -ResourceGroupName“MyResourceGroup”帐号名称“MyStorageAccount -EncryptionScopeName testscope -StorageEncryption

结果(编辑和格式化的可读性)可能是:

(坏的代码)

例如语言:其他

ResourceGroupName: MyResourceGroup StorageAccountName: MyStorageAccount

的名字	状态	源	RequireInfrastructureEncryption
testscope	启用	Microsoft.Storage

然而,空字符串在RequireInfrastructureEncryption表示该服务没有启用时创建,因为-RequireInfrastructureEncryption参数没有在命令中指定。

包括-RequireInfrastructureEncryption参数解决问题:

(好的代码)

例如语言:壳牌

New-AzStorageEncryptionScope -ResourceGroupName“MyResourceGroup”帐号名称“MyStorageAccount -EncryptionScopeName testscope -StorageEncryption -RequireInfrastructureEncryption

生成的报告:

(结果)

例如语言:其他

ResourceGroupName: MyResourceGroup StorageAccountName: MyStorageAccount

的名字	状态	源	RequireInfrastructureEncryption
testscope	启用	Microsoft.Keyvault	真正的

在一个场景,需要软件和硬件层加密(“双重加密”),Azure的基础设施可以启用加密设置通过CLI或门户。一个重要的注意的是,基础设施硬件加密不能启用或禁用后创建一个blob。此外,基础设施的默认值加密在blob创作是禁用的。

观察到的例子

参考	描述
cve - 2022 - 30275	远程终端装置(RTU)使用一个驱动程序依赖于存储在明文密码。
cve - 2009 - 2272	密码和用户名在明文存储在一个cookie
cve - 2009 - 1466	密码存储在明文文件的权限
cve - 2009 - 0152	聊天程序禁用SSL在某些情况下甚至当用户使用SSL说。
cve - 2009 - 1603	链:产品使用一个不正确的公共指数在生成一个RSA密钥,这有效地禁用加密
cve - 2009 - 0964	在数据库中存储加密的密码
cve - 2008 - 6157	在数据库中存储加密的密码
cve - 2008 - 6828	产品将明文的密码存储在内存中
cve - 2008 - 1567	存储的密钥明文在一个临时文件
cve - 2008 - 0174	SCADA产品使用HTTP基本身份验证,这是不加密的
cve - 2007 - 5778	登录凭证未加密存储在注册表键
cve - 2001 - 1481	明文凭证在公开的文件中。
cve - 2005 - 1828	在明文密码配置文件。
cve - 2005 - 2209	在明文密码配置文件。
cve - 2002 - 1696	解密消息的副本写入磁盘选项的组合,当用户回复一条加密的消息。
cve - 2004 - 2397	私有密钥和密码的明文存储在日志文件,当用户进口的关键。
cve - 2002 - 1800	管理密码明文的cookie。
cve - 2001 - 1537	默认配置在饼干有明文用户名/密码。
cve - 2001 - 1536	用户名/密码明文的饼干。
cve - 2005 - 2160	身份验证信息存储在cookie中明文。

潜在的缓解措施

阶段:实施;系统配置;操作

云存储数据时(例如,S3 bucket, Azure blob、谷歌云存储,等等),使用提供者的控件来加密数据。(ref - 1297][ref - 1299][ref - 1301]

检测方法

自动静态分析

自动静态分析,通常被称为静态应用程序安全性测试(科协),可以找到一些实例的这个弱点分析源代码或二进制/编译后的代码,而不必执行它。通常情况下,这是通过建立一个模型的数据流和控制流,然后寻找潜在攻击模式,连接“源”与“下沉”(输入)的起源(目的地数据与外部组件交互,较低的层,如操作系统,等等)。

有效性:高

会员资格

这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。

自然	类型	ID	的名字
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	816年	OWASP十大2010类别A7 -不安全的加密存储
MemberOf	视图——CWE条目的一个子集,它提供了一种检查CWE的内容。两个主要视图结构片(列表)和图(包含条目之间的关系)。	884年	CWE横截面
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	934年	OWASP十大2013类别A6 -暴露敏感数据
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	963年	SFP二级集群:公开数据
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	1029年	OWASP十大2017类别A3 -暴露敏感数据
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	1348年	OWASP 2021年十大类别A04:2021——不安全设计
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	1366年	ICS通讯:脆弱的安全协议
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	1368年	ICS依赖性(&架构):外部数字系统
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	1402年	综合分类:加密

脆弱性映射笔记

用法:允许

(CWE ID可以用来映射到现实世界的漏洞)

原因:可接受的使用

理由是:

这CWE条目底部的抽象级别,这是一个首选的抽象级别映射到漏洞的根本原因。

评论:

仔细阅读这两个名称和描述,以确保此映射是一个适当的配合。不要试图“力”映射到底层基础/变体只是遵守这首选的抽象级别。

笔记

术语

不同的人使用“明文”和“明文”指的是同一件事:缺乏加密。然而,在密码学,这些更精确的含义。明文信息之前输入密码算法,包括already-encrypted文本。明文是未加密的任何信息,尽管它可能会在一个编码形式,不轻易人类可读的(比如base64编码)。

分类法映射

映射分类名称	节点ID	映射节点名
千鸟		明文存储的敏感信息
软件故障模式	SFP23	公开的数据
ISA / IEC 62443	4 - 2部分	点播CR4.1A
ISA / IEC 62443	3 - 3部分	点播SR4.1

相关的攻击模式

CAPEC-ID	攻击模式名称
CAPEC-37	检索嵌入式敏感数据

引用

[REF-7]大卫迈克尔·霍华德和勒布朗。编写安全代码。第9章,299页“保护机密数据”。第二版。微软出版社。2002-12-04。<https://www.microsoftpressstore.com/store/writing -安全-代码- 9780735617223>。

(ref - 62)马克·多德约翰麦克唐纳和贾斯汀Schuh。“软件安全评估的艺术”。第二章,“常见的加密漏洞”,43页。1版。艾迪生卫斯理》2006。

Chris Wysopal [ref - 172]。“移动应用前10名名单”。2010-12-13。<https://www.veracode.com/blog/2010/12/mobile-app-top-10-list>。URL验证:2023-04-07。

[ref - 1283] Forescout Vedere实验室。“OT:冰崩:遗留的“不安全的通过设计“认证和风险管理及其影响”。2022-06-20。<https://www.forescout.com/resources/ot-icefall-report/>。

(ref - 1295) WizCase。“超过80个美国城市的敏感信息,包括居民的个人数据,在大量数据容易违反”。2021-07-20。<https://www.wizcase.com/blog/us-municipality-breach-report/>。

乔纳森·格雷格(ref - 1296)。地方政府“1000 GB的数据暴露于马萨诸塞州软件公司”。2021-07-22。<https://www.zdnet.com/article/1000-gb-of-local-government-data-exposed-by-massachusetts-software-company/>。

亚马逊(ref - 1297)。“AWS基础安全控制”的最佳实践。2022年。<https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-controls-reference.html>。URL验证:2023-04-07。

微软(ref - 1299)。“Azure加密概述”。2022-08-18。<https://learn.microsoft.com/en-us/azure/security/fundamentals/encryption-overview>。URL验证:2022-10-11。

谷歌云(ref - 1301)。“默认加密在休息”。2022-10-11。<https://cloud.google.com/docs/security/encryption/default-encryption>。URL验证:2022-10-11。

(ref - 1307)网络安全中心。“1.5.0 CIS微软Azure基础基准版本”。3.2节。2022-08-16。<https://www.cisecurity.org/benchmark/azure>。URL验证:2023-01-19。

微软(ref - 1310)。“使基础设施加密双重加密的数据”。2022-07-14。<https://learn.microsoft.com/en-us/azure/storage/common/infrastructure-encryption-enable>。URL验证:2023-01-24。

内容的历史

提交
提交日期	提交者	组织
2006-07-19 (CWE草案3,2006-07-19)	千鸟
2006-07-19 (CWE草案3,2006-07-19)
贡献
贡献的日期	贡献者	组织
2023-04-25	“映射CWE 62443”子组	CWE -CAPEC ICS /团体
2023-04-25	建议映射ISA / IEC 62443。
修改
修改日期	修饰符	组织
2008-07-01	Eric Dalci	Cigital
2008-07-01	更新Time_of_Introduction
2008-09-08	CWE内容团队	主教法冠
2008-09-08	更新的关系,Taxonomy_Mappings
2009-01-12	CWE内容团队	主教法冠
2009-01-12	更新描述、名称
2010-02-16	CWE内容团队	主教法冠
2010-02-16	更新的引用
2010-06-21	CWE内容团队	主教法冠
2010-06-21	更新的关系
2011-06-01	CWE内容团队	主教法冠
2011-06-01	更新Common_Consequences
2012-05-11	CWE内容团队	主教法冠
2012-05-11	更新Common_Consequences、Demonstrative_Examples Observed_Examples、引用Related_Attack_Patterns、人际关系
2013-02-21	CWE内容团队	主教法冠
2013-02-21	更新Applicable_Platforms,引用
2013-07-17	CWE内容团队	主教法冠
2013-07-17	更新描述关系,Terminology_Notes
2014-07-30	CWE内容团队	主教法冠
2014-07-30	更新Demonstrative_Examples、关系、Taxonomy_Mappings
2017-05-03	CWE内容团队	主教法冠
2017-05-03	更新Related_Attack_Patterns
2017-11-08	CWE内容团队	主教法冠
2017-11-08	更新Modes_of_Introduction、引用关系
2018-01-23	CWE内容团队	主教法冠
2018-01-23	更新的抽象、人际关系
2018-03-27	CWE内容团队	主教法冠
2018-03-27	更新引用、关系类型
2019-06-20	CWE内容团队	主教法冠
2019-06-20	更新关系类型
2020-02-24	CWE内容团队	主教法冠
2020-02-24	更新Applicable_Platforms、人际关系
2021-03-15	CWE内容团队	主教法冠
2021-03-15	更新Demonstrative_Examples
2021-10-28	CWE内容团队	主教法冠
2021-10-28	更新的关系
2022-10-13	CWE内容团队	主教法冠
2022-10-13	更新Applicable_Platforms Demonstrative_Examples,描述、Observed_Examples Potential_Mitigations,引用
2023-01-31	CWE内容团队	主教法冠
2023-01-31	更新Applicable_Platforms、Demonstrative_Examples、描述、引用关系
2023-04-27	CWE内容团队	主教法冠
2023-04-27	更新Detection_Factors、引用关系,Taxonomy_Mappings
2023-06-29	CWE内容团队	主教法冠
2023-06-29	更新Mapping_Notes、人际关系
以前的条目名称
改变日期	以前的条目名称
2009-01-12	明文存储的敏感信息

常见的弱点枚举

cwe - 312:明文存储的敏感信息


	站点地图\|使用条款\|隐私政策\|联系我们\| 使用常见的弱点枚举(CWE)和相关的引用从这个网站的使用条款。CWE赞助的美国国土安全部(DHS)网络和基础设施安全机构(CISA)和管理的国土安全系统工程和发展研究所这是由(HSSEDI)manbetx客户端首页(斜方)。版权©2006 - 2023,斜方公司。manbetx客户端首页CWE、水煤浆、CWRAF, CWE标志是斜方公司的商标。manbetx客户端首页

常见的弱点枚举

cwe - 312:明文存储的敏感信息

编辑自定义过滤器