 描述
产品传送或存储身份验证凭证,但它使用一个不安全的方法容易受到非法拦截和/或检索。
的关系
 此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关的视图”研究概念”(cwe - 1000)
| 自然 |
类型 |
ID |
的名字 |
| ChildOf |
 类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。 |
668年 |
曝光资源错误的球体 |
| ChildOf |
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。 |
1390年 |
弱的身份验证 |
| ParentOf |
 Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
256年 |
明文存储密码 |
| ParentOf |
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
257年 |
可恢复的格式存储的密码 |
| ParentOf |
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
260年 |
密码配置文件 |
| ParentOf |
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
523年 |
不受保护的运输凭证 |
| ParentOf |
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
549年 |
丢失的密码字段屏蔽 |
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
 简化映射的相关视图”缺点漏洞发布”(cwe - 1003)
| 自然 |
类型 |
ID |
的名字 |
| ChildOf |
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。 |
287年 |
不适当的身份验证 |
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关视图”架构概念”(cwe - 1008)
| 自然 |
类型 |
ID |
的名字 |
| MemberOf |
 类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
1013年 |
加密数据 |
模式的介绍
不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。
| 阶段 |
请注意 |
| 架构和设计 |
委员会:这个弱点是指一个不正确的设计与架构相关的安全策略。 |
| 实现 |
|
常见的后果
这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
访问控制
|
攻击者可以访问用户帐户和访问敏感数据使用的用户帐户。 |
|
示范例子
示例1
这段代码更改用户的密码。
$ user = $ _GET(“用户”); 通过美元= $ _GET['通过']; $ checkpass = $ _GET [' checkpass ']; 如果(通过= = checkpass美元){
SetUserPassword(用户,通过美元); }
虽然代码确认请求用户输入两次新密码相同,它不确认密码更改请求的用户相同的用户的密码将会被改变。攻击者可以请求改变另一个用户的密码和控制受害者的账户。
示例2
下面的代码从一个属性文件读取密码,使用密码来连接到数据库。
…
属性道具= new属性();
道具。加载(新FileInputStream (“config.properties”));
字符串密码= prop.getProperty(“密码”);
DriverManager。getConnection (url, usr、密码);
…
这段代码将成功运行,但人都访问配置。属性可以阅读密码的价值。如果一个狡猾的员工可以访问这些信息,他们可以使用它来进入系统。
示例3
下面的代码从注册表中读取密码,并使用密码来创建一个新的网络凭据。
…
字符串密码= regKey.GetValue(万能钥匙).toString ();
NetworkCredential netCred = new NetworkCredential(用户名、密码域);
…
这段代码将成功运行,但人都访问注册表键用于存储密码的密码可以阅读价值。如果一个狡猾的员工可以访问这些信息,他们可以使用它来进入系统
示例4
通过比较这两个例子验证密码存储压缩版本。
int VerifyAdmin (char *密码){
如果比较字符串(压缩(密码)、compressed_password)) {
printf("口令不正确! \ n ");
返回(0); } printf("进入诊断模式…\ n”); 返回(1); }
int VerifyAdmin(字符串密码){
如果(passwd.Equals(压缩(密码)、compressed_password)) {
返回(0); }
/ /诊断模式
返回(1); }
因为压缩算法而不是单向散列算法,攻击者可以恢复压缩密码存储在数据库中。
示例5
下面的例子展示的部分属性和配置文件为Java和ASP。网络应用程序。文件包含用户名和密码信息,但他们在明文存储。
这个Java示例显示了一个属性文件明文用户名/密码对。
# Java Web应用程序ResourceBundle属性文件
…
webapp.ldap.username = secretUsername
webapp.ldap.password = secretPassword
…
下面的例子展示了一个配置文件的一部分ASP。网络应用程序。这个配置文件包含连接到数据库的用户名和密码信息,但对存储在明文。
… < connectionStrings >
<添加名称= connectionString =“ud_DEV connectDB = uDB;uid = db2admin;pwd =密码;dbalias = uDB; System.Data providerName =。Odbc " / > < / connectionStrings > …
用户名和密码信息不应包括在一个配置文件或一个属性文件明文这将允许任何人可以读取文件访问资源。如果可能的话,这个信息加密。
例子6
2022年,OT:冰崩研究调查了10个不同的操作技术(OT)供应商的产品。研究人员报道,56个漏洞,说产品是“不安全的设计”(ref - 1283]。如果这些漏洞利用,往往让对手改变产品运营,从拒绝服务改变产品执行的代码。因为这些产品经常被应用于行业,如电力、电气、水,和其他人,甚至会出现安全问题。
多个供应商使用明文传输或存储的密码产品。
观察到的例子
| 参考 |
描述 |
|
|
面向RPC框架使泡菜功能在默认情况下,允许客户unpickle不可信的数据。 |
|
|
可编程序逻辑控制器(PLC)在明文发送敏感信息,包括密码和会话令牌。 |
|
|
构建控制器使用协议明文传递身份验证凭证。 |
|
|
可编程序逻辑控制器(PLC)在明文发送密码。 |
|
|
远程终端装置(RTU)使用一个驱动程序依赖于存储在明文密码。 |
|
|
Web应用程序允许远程攻击者修改任意用户的密码没有提供原始密码,并且可能执行其他未经授权的操作。 |
|
|
Web应用程序的密码更改效用不检查原始密码。 |
|
|
产品认证成功如果用户提供的MD5哈希匹配的散列数据库;这可以被重放攻击。 |
|
|
链:产品产生可预见的MD5散列使用恒定值加上用户名,允许绕过身份验证。 |
潜在的缓解措施
阶段:体系结构和设计
使用一个适当的安全机制来保护凭证。 |
阶段:体系结构和设计
适当利用加密保护的凭证。 |
实施阶段:
使用行业标准来保护凭证(例如LDAP,密钥库等)。 |
会员资格
这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。
分类法映射
| 映射分类名称 |
节点ID |
适合 |
映射节点名 |
| OWASP十大2007 |
A7 |
CWE更具体 |
破碎的认证和会话管理 |
| OWASP十大2004 |
A3 |
CWE更具体 |
破碎的认证和会话管理 |
引用
|
迈克尔•霍华德(REF-44)大卫·勒布朗和Viega约翰。软件安全的“24宗罪”。“罪19:使用弱密码的系统。”Page 279. McGraw-Hill. 2010. |
|
|
|
描述
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
简化映射的相关视图”缺点漏洞发布”(cwe - 1003)
