CWE

常见的弱点枚举

一个由社区开发的软件&硬件缺陷类型的列表
2021 CWE最重要的硬件的弱点
CWE最危险的弱点
家>CWE列表> CWE -个人字典定义(4.10)
ID

cwe - 359:暴露私人个人信息未经授权的演员

弱点ID: 359
抽象:基地
结构:简单的
视图定制的信息:
+描述
产品不正确阻止一个人的私人的,个人信息被访问的演员要么(1)没有明确授权访问信息或(2)没有隐式的同意的人谁收集的信息。
+扩展描述

有多种类型产品必须保护从攻击者的敏感信息,包括系统数据、通信、配置、商业秘密、知识产权、和个人的个人(私人)信息。私人的个人信息可能包括密码、电话号码、地理位置、个人信息、信用卡号码,等私人信息是很重要的考虑产品的人是一个用户,或处理的数据集的一部分产品。私人信息的曝光不一定防止产品工作正常,事实上暴露可能是由开发人员,例如数据共享与其他组织的一部分。然而,暴露个人隐私信息仍然可以不受欢迎或法律或法规所明确禁止的。

某些类型的私人信息包括:

  • 政府的标识符,如社会安全号码
  • 联系信息,如家庭地址和电话号码
  • 地理位置的用户(或者是)
  • 工作经历
  • 财务数据,如信用卡号码、工资、银行账户,和债务
  • 图片、视频或音频
  • 行为模式,如网页浏览历史,当执行某些活动,等等。
  • 与他人的关系(和类型的关系),家庭,朋友,联系人等。
  • 通信,电子邮件地址,私人信息,短信,聊天记录等。
  • 健康,医疗条件,保险状况,处方记录
  • 账户密码和其他凭证

PII其中一些信息可能描述为(个人身份信息)、受保护的健康信息(φ)等类别的私人信息可能重叠或随预期使用或特定行业的政策和做法。

有时不标记为私有的数据可以有隐私的含义在不同的上下文。例如,学生身份证号码通常不被认为是私人因为没有明确和公开的映射到单个学生的个人信息。然而,如果一个学校生成基于学生社会安全号码,身份证号码的识别号码应考虑私有的。

+替代条款
隐私的侵犯
隐私泄漏
隐私泄漏
+的关系
部分帮助此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
+相关的视图”研究概念”(cwe - 1000)
自然 类型 ID 的名字
ChildOf 类类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。 200年 暴露敏感信息的未经授权的演员
部分帮助此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
+相关观点“软件开发”(cwe - 699)
自然 类型 ID 的名字
MemberOf 类别类别——CWE条目包含一组其他条目,共享一个共同的特点。 199年 信息管理错误
部分帮助此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
+相关视图”架构概念”(cwe - 1008)
自然 类型 ID 的名字
MemberOf 类别类别——CWE条目包含一组其他条目,共享一个共同的特点。 1011年 授权的演员
+模式的介绍
部分帮助不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。
阶段 请注意
架构和设计 遗漏:这个弱点是由于缺少一个安全策略在体系结构和设计阶段。
实现
操作
+适用的平台
部分帮助该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

类:不是特定于语言的患病率(待定)

技术

类:移动患病率(待定)

+常见的后果
部分帮助这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
范围 影响 可能性
保密

技术的影响:读取应用程序数据
+示范例子

示例1

下面的代码包含一个日志记录语句跟踪记录的内容添加到数据库,存储在一个日志文件中。其他值,存储,getPassword()函数返回用户提供的明文密码与账户相关联。

(坏的代码)
例如语言:c#
通过= GetPassword ();
…
dbmsLog。WriteLine (id +“:”+通过+”:“+类型+”:“+ tstamp);

上面的示例中的代码文件系统日志明文密码。尽管许多开发人员信任文件系统作为安全的数据存储位置,它不应该被信任含蓄,尤其是隐私是一个问题。

示例2

这段代码使用位置来确定用户的当前我们国家的位置。

首先应用程序必须声明,它需要在应用程序的manifest.xml ACCESS_FINE_LOCATION许可:

(坏的代码)
例如语言:XML
< uses-permission android: name = " android.permission.ACCESS_FINE_LOCATION " / >

在执行期间,调用getLastLocation()将返回一个基于位置的应用程序的位置的权限。在这种情况下,应用程序允许最准确的位置:

(坏的代码)
例如语言:Java
locationClient = new locationClient(这个,这个,这个);
locationClient.connect ();
userCurrLocation位置;
userCurrLocation = locationClient.getLastLocation ();
deriveStateFromCoords (userCurrLocation);

当应用程序需要这些信息,它不需要使用ACCESS_FINE_LOCATION许可,随着ACCESS_COARSE_LOCATION许可足以识别哪些我们国家的用户。

示例3

2004年,一名员工在美国在线销售约9200万私人客户电子邮件地址到一个垃圾邮件发送者营销境外赌博网站(ref - 338]。为了应对这样的高调的利用,私人数据的收集和管理越来越规范。

+潜在的缓解措施

阶段:需求

确定个人隐私和查阅所有相关法规。一个组织可能需要遵守联邦和州的某些规定,根据其位置,进行业务的类型,它处理任何私人数据的性质。法规可能包括安全港隐私框架(ref - 340),Gramm-Leach Bliley法案(GLBA) (ref - 341),健康保险流通与责任法案(HIPAA) (ref - 342),一般数据保护监管(GDPR) [ref - 1047),加州消费者隐私法案》(CCPA) (ref - 1048),和其他人。

阶段:体系结构和设计

仔细评估安全的设计可能会干扰隐私,反之亦然。安全和隐私问题常常互相竞争。从安全的角度来看,所有重要的操作应该被记录下来,以便日后任何反常的活动可以被识别。然而,当涉及到私人数据,这种做法实际上可以创建风险。虽然有很多方法可以处理不安全的私有数据,一个共同的风险源于错误的信任。程序员经常相信一个程序运行的操作环境,因此相信这是可以接受的私人信息存储在文件系统中,在注册表中,或者在其他华控制的资源。然而,即使对特定资源的访问是受限制的,但这并不保证个人确实有可以信任的访问。
+检测方法

体系结构或设计审查

私人的个人数据可以输入一个程序以各种方式:

  • 直接从用户的密码或个人信息
  • 从数据库或其他数据存储访问的应用程序
  • 间接从合作伙伴或其他第三方

如果数据被写入外部位置,如控制台、文件系统或网络——一个可能会侵犯隐私。

有效性:高
+会员资格
部分帮助这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。
自然 类型 ID 的名字
MemberOf 类别类别——CWE条目包含一组其他条目,共享一个共同的特点。 254年 7 pk -安全特性
MemberOf 类别类别——CWE条目包含一组其他条目,共享一个共同的特点。 857年 CERT甲骨文安全Java编码标准(2011)第14章-输入输出(FIO)
MemberOf 类别类别——CWE条目包含一组其他条目,共享一个共同的特点。 975年 SFP二级集群:体系结构
MemberOf 类别类别——CWE条目包含一组其他条目,共享一个共同的特点。 1029年 OWASP十大2017类别A3 -暴露敏感数据
MemberOf 类别类别——CWE条目包含一组其他条目,共享一个共同的特点。 1147年 SEI CERT甲骨文Java安全编码标准,指南13。输入输出(FIO)
MemberOf 视图视图——CWE条目的一个子集,它提供了一种检查CWE的内容。两个主要视图结构片(列表)和图(包含条目之间的关系)。 1340年 方案及数据保护措施
MemberOf 类别类别——CWE条目包含一组其他条目,共享一个共同的特点。 1345年 OWASP 2021年十大类别A01:2021——破碎的访问控制
+笔记

维护

这个条目重叠其他条目不围绕的那种敏感信息暴露。然而,由于隐私处理这样的重要性是由于法规和其他因素,它可能是有用的对于weakness-finding工具强调功能检测个人的私人信息,而不是系统信息,目前尚不清楚——和——这个条目应该弃用。
+分类法映射
映射分类名称 节点ID 适合 映射节点名
7有害的王国 隐私的侵犯
CERT甲骨文安全Java编码标准(2011) FIO13-J 不要信任边界外的日志敏感信息
+引用
卡特里娜REF-6 Tsipenyuk,布莱恩象棋和加里·麦克格劳博士。“七有害的王国:分类软件安全错误”。NIST研讨会软件安全保障技术和度量工具。NIST的。2005-11-07。<https://samate.nist.gov/SSATTM_Content/papers/Seven%20Pernicious%20Kingdoms%20-%20Taxonomy%20of%20Sw%20Security%20Errors%20-%20Tsipenyuk%20-%20Chess%20-%20McGraw.pdf>。
ref - 338 j·奥茨。“美国在线的人恳求有罪出售92电子邮件阿迪”。2005年注册。。<http://www.theregister.co.uk/2005/02/07/aol_email_theft/>。
(ref - 339)国家标准。“保护个人身份信息的机密性指南(SP 800 - 122)”。2010 - 04。<http://csrc.nist.gov/publications/nistpubs/800 122/sp800 - 122. - pdf>。
美国商务部(ref - 340)。“安全港隐私框架”。<http://www.export.gov/safeharbor/>。
联邦贸易委员会(ref - 341)。“金融隐私:Gramm-Leach Bliley法案(GLBA)”。<http://www.ftc.gov/privacy/glbact/index.html>。
(ref - 342)美国能源部的人类服务。“健康保险流通与责任法案(HIPAA)”。<http://www.hhs.gov/ocr/hipaa/>。
(ref - 343)加州政府。“加州sb - 1386”。2002年。<http://info.sen.ca.gov/pub/01-02/bill/sen/sb_1351-1400/sb_1386_bill_20020926_chaptered.html>。
[ref - 267]信息技术实验室,国家标准与技术研究院。加密模块“安全要求”。2001-05-25。<http://csrc.nist.gov/publications/fips/fips140-2/fips1402.pdf>。
Chris Wysopal [ref - 172]。“移动应用前10名名单”。2010-12-13。<http://www.veracode.com/blog/2010/12/mobile-app-top-10-list/>。
(ref - 1047)维基百科。“通用数据保护监管”。<https://en.wikipedia.org/wiki/General_Data_Protection_Regulation>。
(ref - 1048)加州司法部,司法部长办公室。“加州消费者隐私法案》(CCPA)”。<https://oag.ca.gov/privacy/ccpa>。
+内容的历史
+提交
提交日期 提交者 组织
2006-07-19 7有害的王国
+修改
修改日期 修饰符 组织
2008-07-01 Eric Dalci Cigital
更新Time_of_Introduction
2008-09-08 CWE内容团队 主教法冠
更新的关系,Other_Notes Taxonomy_Mappings
2009-03-10 CWE内容团队 主教法冠
更新Other_Notes
2009-07-27 CWE内容团队 主教法冠
更新Demonstrative_Examples
2009-12-28 CWE内容团队 主教法冠
更新Other_Notes,引用
2010-02-16 CWE内容团队 主教法冠
更新Other_Notes,引用
2011-03-29 CWE内容团队 主教法冠
更新Other_Notes
2011-06-01 CWE内容团队 主教法冠
更新Common_Consequences、关系、Taxonomy_Mappings
2011-09-13 CWE内容团队 主教法冠
更新Other_Notes,引用
2012-05-11 CWE内容团队 主教法冠
更新Related_Attack_Patterns、关系、Taxonomy_Mappings
2013-02-21 CWE内容团队 主教法冠
更新Applicable_Platforms,引用
2014-02-18 CWE内容团队 主教法冠
Alternate_Terms更新,Demonstrative_Examples、描述、名称、Other_Notes、引用
2014-07-30 CWE内容团队 主教法冠
更新的关系
2017-11-08 CWE内容团队 主教法冠
更新Modes_of_Introduction、引用关系
2018-03-27 CWE内容团队 主教法冠
更新的关系
2019-01-03 CWE内容团队 主教法冠
更新的关系,Taxonomy_Mappings
2020-02-24 CWE内容团队 主教法冠
更新Alternate_Terms、Applicable_Platforms Demonstrative_Examples、描述Detection_Factors, Maintenance_Notes,名字,Potential_Mitigations,引用关系类型
2020-08-20 CWE内容团队 主教法冠
更新Related_Attack_Patterns
2020-12-10 CWE内容团队 主教法冠
更新的关系
2021-03-15 CWE内容团队 主教法冠
更新的引用
2021-10-28 CWE内容团队 主教法冠
更新的关系
2023-01-31 CWE内容团队 主教法冠
更新Related_Attack_Patterns
+以前的条目名称
改变日期 以前的条目名称
2014-02-18 隐私的侵犯
2020-02-24 暴露私人信息(“侵犯隐私”)
更多的信息是可用的,请选择一个不同的过滤器。
页面最后更新:2023年1月31日

使用常见的弱点枚举(CWE)和相关的引用从这个网站的使用条款。CWE赞助的美国国土安全部(DHS)网络和基础设施安全机构(CISA)和管理的国土安全系统工程和发展研究所这是由(HSSEDI)manbetx客户端首页(斜方)。版权©2006 - 2023,斜方公司。manbetx客户端首页CWE、水煤浆、CWRAF, CWE标志是斜方公司的商标。manbetx客户端首页