CWE-Referenz › CWE-187: Partial String Comparison
CWE-187: Partial String Comparison
CWE ID: 187
Name: Partial String Comparison
Beschreibung
Das Produkt führt eine Vergleiche durch, die nur einen Teil eines Faktors untersucht, bevor ein Treffer festgestellt wird, beispielsweise eine Substring, was zu resultierenden Schwachstellen führt.
Erweiterte Beschreibung
Beispielsweise könnte ein Angreifer die Authentifizierung erfolgreich durchführen, indem er ein kurzes Passwort bereitstellt, das mit dem relevanten Abschnitt des vollständigen, korrekten Passworts übereinstimmt.
Risikominderungsmaßnahmen
Maßnahme (Testing)
Effektivität: Unknown
Beschreibung: Testen Sie das Vergleichsschema vor der Bereitstellung von Code in die Produktion gründlich. Führen Sie sowohl positive als auch negative Tests durch.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-187: Partial String Comparison werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen