常见的弱点枚举

明文的产品传递重要敏感或安全数据通信通道,可以嗅未经授权的演员。

许多沟通渠道可以“嗅”在数据传输(监控)的敌人。例如,在网络,数据包可以遍历许多中介节点从源到目的地,是否在互联网上,一个内部网络,云,等。有些演员可能特权访问网络接口或任何链接通道,如路由器,但他们可能不会被授权收集基础数据。因此,网络流量可以嗅的敌人,强调安全的数据。

适用的沟通渠道并不局限于软件产品。适用的渠道包括特定于硬件的技术,如内部硬件网络和外部调试渠道,支持远程JTAG调试。当移植不应用于产品的威胁模型中战斗的对手,这个弱点大大降低开发的难度,这样的对手。

完整的通讯记录或记录时,如包转储,敌人可能试图获取转储长传输发生后,尝试“嗅嗅”明文从垃圾堆里的通讯记录本身。即使信息编码的方式不是人类可读的,使用某些技术可以确定哪些编码,然后解码的信息。

此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。 此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。 此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。 此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。 此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

技术

高

示例1

下面的代码试图建立一个连接一个网站敏感信息交流。

虽然连接成功建立后,未加密的连接,可能是所有敏感数据发送或接收从服务器将读到意想不到的演员。

示例2

2022年,OT:冰崩研究调查了10个不同的操作技术(OT)供应商的产品。研究人员报道,56个漏洞,说产品是“不安全的设计”(ref - 1283]。如果这些漏洞利用,往往让对手改变产品运营,从拒绝服务改变产品执行的代码。因为这些产品经常被应用于行业,如电力、电气、水,和其他人,甚至会出现安全问题。

多个供应商使用明文传输的敏感信息的产品。

示例3

点击访问的寄存器读/写的一个基于JTAG的工具,通过授权用户供内部使用。然而,敌人可以连接一个探测装置和收集的值未加密通道JTAG接口连接到授权用户,如果没有额外的保护工作。

示例4

以下Azure CLI命令列出了一个特定的属性存储账户:

JSON结果可能是:

enableHttpsTrafficOnly值设置为false,因为默认设置安全传输设置为禁用。这使得云存储资源成功地连接和传输数据,而无需使用加密(例如,HTTP, SMB 2.1, 3.0 SMB,等等)。

Azure存储账户可以配置为只接受来自安全连接的请求在HTTPS。安全传输设置可以启用以编程方式使用Azure门户(GUI)或通过设置存储账户enableHttpsTrafficOnly属性为True,如:

这种变化可以从结果通过验证,证实enableHttpsTrafficOnly价值是正确的:

注意:启用安全转移使用Azure的门户而不是命令行:

• 1。打开创建存储帐户窗格在Azure门户。
• 2。在先进的页面,选择复选框启用安全转移。

这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。