 描述
产品不返回自定义错误页面给用户,可能暴露敏感信息。
的关系
 此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关的视图”研究概念”(cwe - 1000)
| 自然 |
类型 |
ID |
的名字 |
| ChildOf |
 类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。 |
755年 |
异常情况的处理不当 |
| ParentOf |
 变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。 |
7 |
J2EE错误配置:失踪的自定义错误页面 |
| ParentOf |
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。 |
12 |
ASP.NETMisconfiguration: Missing Custom Error Page |
| CanPrecede |
 Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
209年 |
代的包含敏感信息的错误消息 |
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关观点“软件开发”(cwe - 699)
| 自然 |
类型 |
ID |
的名字 |
| MemberOf |
 类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
389年 |
错误条件,返回值,状态代码 |
常见的后果
这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
保密
|
攻击者可以利用所提供的附加信息的默认错误页面发起攻击目标的框架,应用程序使用的数据库或其他资源。 |
|
示范例子
示例1
在下面的代码片段中,一个不受控制的从try块中抛出运行时异常可能导致容器来显示其默认错误页面(可能包含一个完整的堆栈跟踪,等等)。
公共空间doPost (HttpServletRequest请求,HttpServletResponse响应)抛出ServletException, IOException {
尝试{
… }捕捉(ApplicationSpecificException ase) {
记录器。错误(“抓住:“+ ase.toString ()); } }
示例2
< customErrors >标记的模式属性。配置文件定义了自定义或使用默认的错误页面。
在接下来的不安全的ASP。网络应用程序设置,自定义错误消息模式是关闭的。一个ASP。净与详细的堆栈跟踪和错误消息平台版本将被归还。
< customErrors模式= "关闭" / >
更安全的设置是设置自定义错误消息模式仅供远程用户。没有指定defaultRedirect错误页面。web服务器上的本地用户将看到一个详细的堆栈跟踪。为远程用户,一个ASP。网络与服务器错误消息customError配置设置和将返回平台版本。
< customErrors模式= " RemoteOnly " / >
另一个安全选项是设置的模式属性< customErrors >标记来使用一个自定义的页面如下:
“defaultRedirect < customErrors模式= " = " YourErrorPage。htm " / >
会员资格
这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。
|
描述
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
