CWE-Referenz › CWE-271: Privilege Dropping / Lowering Errors
CWE-271: Privilege Dropping / Lowering Errors
CWE ID: 271
Name: Privilege Dropping / Lowering Errors
Beschreibung
Das Produkt reduziert die Berechtigungen nicht, bevor die Kontrolle über eine Ressource an einen Actor übergeben wird, der diese Berechtigungen nicht besitzt. Dies stellt ein potentielles Security Vulnerability dar, da der Actor möglicherweise unautorisierte Aktionen ausführen kann.
Erweiterte Beschreibung
In bestimmten Kontexten übergibt ein System, das mit erhöhten Berechtigungen ausgeführt wird, einen Prozess, eine Datei usw. an einen anderen Prozess oder Benutzer. Wenn die Berechtigungen einer Entität nicht reduziert werden, werden erhöhte Privilegien im gesamten System verbreitet und potenziell einem Angreifer zugänglich gemacht. Dies kann zu einer Eskalation von Sicherheitsvorfällen führen und die gesamte Systemintegrität gefährden.
Risikominderungsmaßnahmen
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Die Konfiguration, Verwaltung und Handhabung von Privilegien muss äußerst sorgfältig erfolgen. Vertrauenszonen im Software-Design müssen explizit verwaltet werden.
Maßnahme (Architecture and Design)
Effektivität: Unknown
Beschreibung: Es wird empfohlen, das Prinzip der Separation of Privilege zu berücksichtigen. Mehrere Bedingungen sollten erfüllt sein müssen, bevor Zugriff auf eine Systemressource gewährt wird.
Verwandte Schwachstellen
Ist Ihre IT-Infrastruktur betroffen?
Schwachstellen wie CWE-271: Privilege Dropping / Lowering Errors werden von Angreifern gezielt gesucht — meist automatisiert und ohne Rücksicht darauf, wie groß das betroffene Unternehmen ist. Ob eine solche Lücke bei Ihnen tatsächlich offen steht, lässt sich nur durch Prüfung feststellen:
- Schwachstellen-Scan — wiederkehrende Prüfung Ihrer Infrastruktur auf bekannte Lücken wie diese
- Penetrationstest — manuelle Prüfung eigener Software auf Schwachstellen, die kein Werkzeug findet
- Threat Modeling — Schwachstellenklassen im Entwurf vermeiden, statt sie später zu suchen