CWE

普遍的弱点

社区开发的软件和硬件弱点类型清单

2021 CWE最重要的硬件弱点
CWE前25个最危险的弱点
>CWE列表> cwe-单个字典定义(4.10)
ID

CWE-613:会话到期不足

弱点ID:613
抽象:根据
结构:简单的
查看自定义信息:
+描述
根据WASC的说法,“不足会话到期是在网站允许攻击者重复使用旧会话凭据或会话ID进行授权时。”
+关系
部分帮助该表显示了与该弱点相关的弱点和高级类别。这些关系定义为childof,parentof,ementof,并深入了解可能存在于较高和较低抽象水平的类似项目。此外,定义了诸如Peerof和Canalsobe之类的关系,以显示用户可能想要探索的类似弱点。
+与观点“研究概念”相关(CWE-1000)
自然 类型 ID 姓名
Childof 班级班级 - 以非常抽象的方式描述的弱点,通常与任何特定的语言或技术无关。比支柱弱点更具体,但比基本弱点更一般。班级弱点通常用以下维度的1或2来描述问题:行为,属性和资源。 672 到期或发布后在资源上操作
canpreceede 班级班级 - 以非常抽象的方式描述的弱点,通常与任何特定的语言或技术无关。比支柱弱点更具体,但比基本弱点更一般。班级弱点通常用以下维度的1或2来描述问题:行为,属性和资源。 287 身份验证不当
部分帮助该表显示了与该弱点相关的弱点和高级类别。这些关系定义为childof,parentof,ementof,并深入了解可能存在于较高和较低抽象水平的类似项目。此外,定义了诸如Peerof和Canalsobe之类的关系,以显示用户可能想要探索的类似弱点。
+与“软件开发”视图相关(CWE-699)
自然 类型 ID 姓名
成员 类别类别 - 包含共享共同特征的其他条目的CWE条目。 1217 用户会话错误
部分帮助该表显示了与该弱点相关的弱点和高级类别。这些关系定义为childof,parentof,ementof,并深入了解可能存在于较高和较低抽象水平的类似项目。此外,定义了诸如Peerof和Canalsobe之类的关系,以显示用户可能想要探索的类似弱点。
+与“简化已发表漏洞的简化映射”(CWE-1003)相关的视图相关(CWE-1003)
自然 类型 ID 姓名
Childof 班级班级 - 以非常抽象的方式描述的弱点,通常与任何特定的语言或技术无关。比支柱弱点更具体,但比基本弱点更一般。班级弱点通常用以下维度的1或2来描述问题:行为,属性和资源。 672 到期或发布后在资源上操作
部分帮助该表显示了与该弱点相关的弱点和高级类别。这些关系定义为childof,parentof,ementof,并深入了解可能存在于较高和较低抽象水平的类似项目。此外,定义了诸如Peerof和Canalsobe之类的关系,以显示用户可能想要探索的类似弱点。
+与“建筑概念”(CWE-1008)有关
自然 类型 ID 姓名
成员 类别类别 - 包含共享共同特征的其他条目的CWE条目。 1018 管理用户会议
+介绍模式
部分帮助引言的不同模式提供了有关如何以及何时引入这种弱点的信息。该阶段识别可能发生介绍的生命周期中的一个点,而音符提供了与给定阶段中引言有关的典型情况。
阶段 笔记
建筑和设计
执行 实现:这种弱点是在实施建筑安全策略期间引起的。
+常见后果
部分帮助该表指定与弱点相关的不同个人后果。该范围确定了违反的应用程序安全区域,而影响描述了如果对手成功利用这一弱点,就会产生负面的技术影响。其可能性提供了有关预期相对于列表中其他后果的特定后果的可能性的信息。例如,可能会利用弱点来实现一定的影响,但很可能会利用它来实现不同的影响。
范围 影响 可能性
访问控制

技术影响:旁路保护机制

+示例的例子

示例1

以下片段是从J2EE Web.xml部署描述符中获取的,其中会话时间段参数被明确定义(默认值取决于容器)。在这种情况下,该值设置为-1,这意味着会话将永远不会到期。

(不良代码)
示例语言:爪哇
[...剪...]

-1
+潜在的缓解

阶段:实施

设置会议/凭据到期日期。
+会员资格
部分帮助此成员关系表显示了其他CWE类别和视图,将此弱点称为成员。该信息通常可用于理解弱点适合外部信息源的何处。
自然 类型 ID 姓名
成员 类别类别 - 包含共享共同特征的其他条目的CWE条目。 724 OWASP 2004年前十大A3类 - 破裂的身份验证和会话管理
成员 类别类别 - 包含共享共同特征的其他条目的CWE条目。 930 OWASP 2013年前十大A2类 - 破裂的身份验证和会话管理
成员 类别类别 - 包含共享共同特征的其他条目的CWE条目。 951 SFP辅助集群:不安全的身份验证策略
成员 类别类别 - 包含共享共同特征的其他条目的CWE条目。 1028 OWASP前十名2017类A2类 - 破裂的身份验证
成员 类别类别 - 包含共享共同特征的其他条目的CWE条目。 1353 OWASP前十2021年A07:2021-标识和身份验证失败
+笔记

其他

缺乏适当的会话到期可能会改善某些攻击的可能成功。例如,攻击者可以通过网络嗅探器或跨站点脚本攻击拦截会话ID。尽管会话到期时间短,如果立即使用被盗的令牌,它们将防止会话ID的持续重播。在另一种情况下,用户可以从共享计算机(例如在库,Internet Cafe或开放工作环境)访问网站。会话到期不足,可以允许攻击者使用浏览器的后退按钮访问受害者先前访问的网页。
+分类映射
映射的分类名称 节点ID 合身 映射的节点名称
WASC 47 会话到期不足
+内容历史记录
+提交
提交日期 提交者 组织
2007-05-07 WASC
+修改
修改日期 修饰符 组织
2008-07-01 Sean Eidemiller 雪茄
添加/更新的示例
2008-07-01 埃里克·达奇(Eric Dalci) 雪茄
更新的势_METIGATIONS,time_of_introduction
2008-09-08 CWE内容团队 MITER
更新的关系,其他_notes,分类_mappings
2009-03-10 CWE内容团队 MITER
更新的关系
2010-02-16 CWE内容团队 MITER
更新的分类法_ mappings
2010-09-27 CWE内容团队 MITER
更新的分类法_ mappings
2011-06-01 CWE内容团队 MITER
更新的common_cconsquences
2012-05-11 CWE内容团队 MITER
更新的关系
2012-10-30 CWE内容团队 MITER
更新的势_MINEIGATIONS
2014-06-23 CWE内容团队 MITER
更新的关系
2014-07-30 CWE内容团队 MITER
更新的关系
2017-11-08 CWE内容团队 MITER
更新的模式_OF_INTRODUCTION,关系
2018-03-27 CWE内容团队 MITER
更新的关系
2019-06-20 CWE内容团队 MITER
更新的关系
2020-02-24 CWE内容团队 MITER
更新的关系
2021-10-28 CWE内容团队 MITER
更新的关系
提供更多信息 - 请选择其他过滤器。
页面最后更新:2023年1月31日