CWE-Referenz › CWE-12: ASP.NET Misconfiguration: Missing Custom Error Page
CWE-12: ASP.NET Misconfiguration: Missing Custom Error Page
CWE ID: 12
Name: ASP.NET Misconfiguration: Missing Custom Error Page
Beschreibung
Eine ASP.NET-Anwendung muss benutzerdefinierte Fehlerseiten aktivieren, um zu verhindern, dass Angreifer Informationen aus den eingebauten Antworten des Frameworks extrahieren.
Risikominderungsmaßnahmen
Maßnahme (System Configuration)
Effektivität: Unknown
Beschreibung: Behandeln Sie Exceptions angemessen im Quellcode. ASP.NET-Anwendungen sollten so konfiguriert sein, dass sie benutzerdefinierte Fehlerseiten anstelle der Standardseite des Frameworks verwenden.
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Versuchen Sie nicht, einen Fehler zu verarbeiten oder zu maskieren.
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Überprüfen Sie die Rückgabewerte auf Korrektheit und geben Sie keine sensiblen Informationen über das System preis.
Detaillierter Hintergrund
Das Attribut “mode” des <customErrors>-Tags definiert, ob benutzerdefinierte oder Standard-Fehlerseiten verwendet werden.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-12: ASP.NET Misconfiguration: Missing Custom Error Page werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen