CWE-Referenz › CWE-259: Use of Hard-coded Password
CWE-259: Use of Hard-coded Password
CWE ID: 259
Name: Use of Hard-coded Password
Beschreibung
Das Produkt enthält ein fest einprogrammiertes Passwort, welches für die eigene Inbound-Authentifizierung oder für die Outbound-Kommunikation zu externen Komponenten verwendet wird.
Risikominderungsmaßnahmen
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Für die Outbound-Authentifizierung: Speichern Sie Passwörter außerhalb des Codes in einer stark geschützten, verschlüsselten Konfigurationsdatei oder Datenbank, die vor Zugriff durch alle externen Parteien geschützt ist, einschließlich anderer lokaler Benutzer auf demselben System. Schützen Sie den Key (CWE-320) angemessen. Sollte eine Verschlüsselung der Datei nicht möglich sein, stellen Sie sicher, dass die Berechtigungen so restriktiv wie möglich sind.
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Für die Inbound-Authentifizierung: Anstatt einen Standard-Benutzernamen und ein Standard-Passwort für die erstmalige Anmeldung fest zu codieren, nutzen Sie einen “first login” Modus, der den Benutzer zur Eingabe eines eindeutigen, starken Passworts verpflichtet.
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Führen Sie Access Control Checks durch und beschränken Sie, welche Entitäten auf die Funktion zugreifen können, die das hartcodierte Passwort benötigt. Beispielsweise könnte eine Funktion nur über die System Console aktiviert werden, anstatt über eine Netzwerkverbindung.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-259: Use of Hard-coded Password werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen