CWE-Referenz › CWE-202: Exposure of Sensitive Information Through Data Queries
CWE-202: Exposure of Sensitive Information Through Data Queries
CWE ID: 202
Name: Exposure of Sensitive Information Through Data Queries
Beschreibung
Bei dem Versuch, Informationen vertraulich zu halten, kann ein Angreifer oft durch die Analyse von Statistiken Rückschlüsse auf einige der Informationen ziehen.
Erweiterte Beschreibung
In Situationen, in denen Daten nicht mit einzelnen Nutzern verknüpft werden sollen, aber eine große Anzahl von Nutzern Abfragen stellen soll, die die Identität der Nutzer “scrubben”, kann es dennoch möglich sein, Informationen über einen Nutzer zu erhalten – beispielsweise durch die Angabe von Suchbegriffen, von denen bekannt ist, dass sie für diesen Nutzer einzigartig sind.
Risikominderungsmaßnahmen
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Dies ist ein komplexes Thema. Für eine fundierte Diskussion über Best Practices wird auf das Buch “Translucent Databases” verwiesen.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-202: Exposure of Sensitive Information Through Data Queries werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen