CWE-Referenz › CWE-210: Self-generated Error Message Containing Sensitive Information
CWE-210: Self-generated Error Message Containing Sensitive Information
CWE ID: 210
Name: Self-generated Error Message Containing Sensitive Information
Beschreibung
Das Produkt identifiziert einen Fehlerzustand und generiert eigene Diagnose- oder Fehlermeldungen, die sensible Informationen enthalten. Diese Praxis birgt ein erhebliches Risiko, da Angreifer diese Informationen für weitere Exploits oder zur Umgehung von Sicherheitsmaßnahmen nutzen könnten. Eine sorgfältige Überprüfung und Reduzierung solcher Informationen ist essentiell für die Aufrechterhaltung der IT-Sicherheit.
Risikominderungsmaßnahmen
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Debugging Informationen sollten in einer Produktionsfreigabe keinen Platz finden. Das Vorhandensein von Debugging-Informationen kann die Angriffsfläche erhöhen und sensible Details über die Softwarearchitektur offenlegen, was ein erhebliches Sicherheitsrisiko darstellt. Es ist unerlässlich, vor der Veröffentlichung eine gründliche Bereinigung der Build-Artefakte durchzuführen, um solche Informationen zu eliminieren.
Maßnahme (Implementation)
Effektivität: Unknown
Beschreibung: Debugging Informationen sollten in einer Produktionsfreigabe keinen Platz finden. Das Vorhandensein von Debugging-Informationen kann die Angriffsfläche erhöhen und sensible Details über die Softwarearchitektur offenlegen, was ein erhebliches Sicherheitsrisiko darstellt. Es ist unerlässlich, vor der Veröffentlichung eine gründliche Bereinigung der Build-Artefakte durchzuführen, um solche Informationen zu eliminieren. Dabei sollte man sicherstellen, dass keine Symboldateien oder andere Debugging-Artefakte im finalen Release enthalten sind.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-210: Self-generated Error Message Containing Sensitive Information werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen