CWE - CWE - 495:私人数据结构从公共方法返回(4.10)

弱点ID: 495

抽象:变体
结构:简单的

视图定制的信息:

描述

宣布公共产品有一个方法,但返回一个引用私人数据结构,它可以被修改以意想不到的方式。

的关系

此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。

相关的视图”研究概念”(cwe - 1000)

自然	类型	ID	的名字
ChildOf	支柱——一个弱点是最抽象类型的弱点和代表一个主题类/基地/变体相关弱点。支柱是不同于一个类别作为支柱技术上仍然是一种弱点,描述了一个错误,而一个类别代表一个共同特征用于组相关的东西。	664年	资源的不当控制通过它的生命周期

模式的介绍

不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。

阶段	请注意
实现

适用的平台

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

C患病率(待定)

c++患病率(待定)

Java患病率(待定)

c#患病率(待定)

常见的后果

这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。

范围	影响	可能性
完整性	技术的影响:修改应用程序数据数据结构的内容可以修改在期望的范围之外。

示范例子

示例1

这里,Java类中的公共方法返回一个引用一个私人数组。考虑到Java数组是可变的,任何修改返回的引用将会反映在最初的私人数组。

(坏的代码)

例如语言:Java

私人String[]颜色;
公共String[]色鬼(){

返回颜色;

}

示例2

在这个例子中,颜色类定义的函数返回non-const引用私有成员(一个数组类型和一个整数类型),然后任意改变以外的控制类。

(坏的代码)

例如语言:c++

类的颜色
{

私人:

int [2] colorArray;
int colorValue;

公众:

颜色():colorArray {1,2}, colorValue (3) {};
int [2] & fa(){返回colorArray;}/ /返回引用私人数组
int &阵线(){返回colorValue;}/ /返回引用私人整数

};

int main ()
{

颜色c;

c。fa () [1] = 42;/ /修改私人数组元素
c。阵线()= 42;/ /修改私人int

返回0;

}

潜在的缓解措施

实施阶段:

声明私有方法。

实施阶段:

克隆的成员数据和保持一个私有的数据对象的修改的版本。

实施阶段:

控制如何使用公共setter方法私有成员可以修改。

会员资格

这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。

自然	类型	ID	的名字
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	485年	7 pk -封装
MemberOf	视图——CWE条目的一个子集,它提供了一种检查CWE的内容。两个主要视图结构片(列表)和图(包含条目之间的关系)。	884年	CWE横截面
MemberOf	类别——CWE条目包含一组其他条目,共享一个共同的特点。	963年	SFP二级集群:公开数据

分类法映射

映射分类名称	节点ID	适合	映射节点名
7有害的王国			私人波束场回来一个公共方法
软件故障模式	SFP23		公开的数据

引用

卡特里娜REF-6 Tsipenyuk,布莱恩象棋和加里·麦克格劳博士。“七有害的王国:分类软件安全错误”。NIST研讨会软件安全保障技术和度量工具。NIST的。2005-11-07。<https://samate.nist.gov/SSATTM_Content/papers/Seven%20Pernicious%20Kingdoms%20-%20Taxonomy%20of%20Sw%20Security%20Errors%20-%20Tsipenyuk%20-%20Chess%20-%20McGraw.pdf>。

内容的历史

提交
提交日期	提交者	组织
2006-07-19	7有害的王国
2006-07-19
修改
修改日期	修饰符	组织
2008-07-01	肖恩Eidemiller	Cigital
2008-07-01	添加/更新示范例子
2008-07-01	Eric Dalci	Cigital
2008-07-01	更新Time_of_Introduction
2008-08-01		股的分析
2008-08-01	添加/更新白盒定义
2008-09-08	CWE内容团队	主教法冠
2008-09-08	更新Applicable_Platforms、关系、Taxonomy_Mappings
2011-06-01	CWE内容团队	主教法冠
2011-06-01	更新Common_Consequences
2012-05-11	CWE内容团队	主教法冠
2012-05-11	更新Common_Consequences、人际关系
2012-10-30	CWE内容团队	主教法冠
2012-10-30	更新Potential_Mitigations
2014-07-30	CWE内容团队	主教法冠
2014-07-30	更新的关系,Taxonomy_Mappings
2017-11-08	CWE内容团队	主教法冠
2017-11-08	更新的关系,White_Box_Definitions
2019-01-03	CWE内容团队	主教法冠
2019-01-03	更新Common_Consequences Demonstrative_Examples、描述、名称、Potential_Mitigations
2020-02-24	CWE内容团队	主教法冠
2020-02-24	更新引用关系
以前的条目名称
改变日期	以前的条目名称
2019-01-03	私人波束场回来一个公共方法

常见的弱点枚举

cwe - 495:私人数据结构从一个公共方法


	站点地图\|使用条款\|隐私政策\|联系我们\| 使用常见的弱点枚举(CWE)和相关的引用从这个网站的使用条款。CWE赞助的美国国土安全部(DHS)网络和基础设施安全机构(CISA)和管理的国土安全系统工程和发展研究所这是由(HSSEDI)manbetx客户端首页(斜方)。版权©2006 - 2023,斜方公司。manbetx客户端首页CWE、水煤浆、CWRAF, CWE标志是斜方公司的商标。manbetx客户端首页