CWE-Referenz › CWE-1173: Improper Use of Validation Framework
CWE-1173: Improper Use of Validation Framework
CWE ID: 1173
Name: Improper Use of Validation Framework
Beschreibung
Das Produkt verwendet keinen Input Validation Framework, der von der Quellsprache bereitgestellt wird, oder verwendet einen solchen fehlerhaft.
Erweiterte Beschreibung
Viele moderne Programmiersprachen stellen Entwicklern Input Validation Frameworks zur Verfügung, um die Aufgabe der Eingabevalidierung zu vereinfachen und weniger fehleranfällig zu gestalten. Diese Frameworks prüfen automatisch alle Eingaben anhand definierter Kriterien und leiten die Ausführung an Error Handler weiter, wenn ungültige Eingaben empfangen werden. Eine fehlerhafte Verwendung (z.B. eine falsche Implementierung oder das Fehlen) dieser Frameworks ist nicht direkt ausnutzbar, kann aber zu einer ausnutzbaren Bedingung führen, wenn später im Produkt keine ordnungsgemäße Input Validation durchgeführt wird. Das Nichtnutzen bereitgestellter Input Validation Frameworks kann zudem die Wartbarkeit des Codes beeinträchtigen, da zukünftige Entwickler möglicherweise die downstream Input Validation nicht erkennen, die anstelle des Frameworks verwendet wird.
Risikominderungsmaßnahmen
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Nutzen Sie die bereitgestellten Input Validation Frameworks ordnungsgemäß.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-1173: Improper Use of Validation Framework werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen