cwe - 72:处理不当的苹果HFS +备用数据流的路径
 描述
产品不妥善处理特殊的路径,可以识别的数据或资源叉HFS +文件系统上的文件中。
扩展描述
如果产品选择行为采取基于文件名,如果攻击者提供的数据或资源叉,该产品可能需要意想不到的行为。进一步说,如果产品打算限制访问一个文件,那么攻击者可能仍然能够绕过目的访问限制通过请求的数据或资源派生文件。
的关系
背景细节
+苹果HFS文件系统允许文件有多个数据输入流,通过特殊的路径来访问。Mac OS X操作系统提供了一种方法来访问不同的数据输入流通过特殊路径和作为一个扩展的属性:
-资源叉:文件/ . . namedfork / rsrs,文件/ rsrs(弃用),xattr: com.apple.ResourceFork
餐叉:吃-数据文件/ . . namedfork /数据(仅在Mac OS X版本v10.5)
此外,在缺乏本地文件系统支持多种流,资源叉和文件元数据可能存储在一个文件”。_”前缀的名称。
叉也可以通过不可移植的api访问。
叉继承文件的文件系统访问控制他们属于。
程序需要访问控制这些路径,如果一个文件系统的处理对象是依赖于结构的路径。
模式的介绍
 不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。
常见的后果
这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
示范例子
示例1
解释文件的web服务器。cgi处理指令可以公开的源代码文件。cgi通过请求FILE.cgi / . . namedfork /数据。这可能发生,因为web服务器调用默认处理程序返回文件的内容。
观察到的例子
| 参考 |
描述 |
|
|
服务器允许远程攻击者读取文件和资源叉内容通过HTTP请求某些特殊文件名与多个数据流在HFS +。 |
笔记
理论
这和类似的问题存在,因为相同的资源可以有多个标识符,决定哪些行为可以在资源上执行。
引用
|
描述
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
